flawopen.com/command-injection/Csharp

● CWE-918 · Критический
Исследования · FlawOpen

Анализ уязвимости: Command Injection in C#

Learn how to fix Command Injection (CWE-78) in C# / .NET. Side-by-side vulnerable vs secure code examples for ProcessStartInfo.ArgumentList with UseShellExecute false.

💡 Простыми словами (ELI5)

Представьте, что вы просите офисного ассистента распечатать документ 'отчет.pdf'. Инъекция команд происходит, когда кто-то указывает имя 'отчет.pdf; whoami', и ассистент слепо передает всю записку терминалу, заставляя его напечатать отчет и прочесть бейдж администратора.

Ключевые понятия и термины

Web Application Security
Технический термин (Web Application Security): Core architecture component affected by CWE-918.
CWE-918
Технический термин (CWE-918): Standard Common Weakness Enumeration classification for command-injection-csharp.
Defense-in-Depth
Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Прием ненадежных параметров

Приложение принимает диагностические имена хостов, имена файлов или флаги напрямую из HTTP-запроса пользователя.

Step 2

Небезопасная конкатенация командной строки

Бэкенд формирует строку команды оболочки с помощью склеивания строк вместо использования вектора разделенных аргументов.

Step 3

Внедрение разделителей команд

Злоумышленник внедряет метасимволы оболочки, такие как ';', '&&', '|' или обратные кавычки (например, '127.0.0.1; id').

Step 4

Выполнение в подоболочке и компрометация

Командная оболочка ОС выполняет внедренную команду с привилегиями рабочего процесса веб-сервера.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ
// Concatenating into Arguments string
var psi = new ProcessStartInfo
{
    FileName = "cmd.exe",
    // Attacker input: "test.txt & net user /add evil Password123!"
    Arguments = $"/c type {userInput}",
    RedirectStandardOutput = true
};
Process.Start(psi);
✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
// Using ArgumentList (.NET Core / .NET 5+) without shell
var psi = new ProcessStartInfo
{
    FileName = "notepad.exe"
};
// Arguments added individually to ArgumentList are never parsed as shell commands
psi.ArgumentList.Add(userInput);
Process.Start(psi);

Чек-лист по защите системы для инженеров

References