flawopen.com/command-injection/Php

● CWE-918 · Критический
Исследования · FlawOpen

Анализ уязвимости: Command Injection in PHP

Learn how to fix Command Injection (CWE-78) in PHP. Side-by-side vulnerable vs secure code examples for proc_open(), escapeshellarg(), and shell_exec hazards.

💡 Простыми словами (ELI5)

Представьте, что вы просите офисного ассистента распечатать документ 'отчет.pdf'. Инъекция команд происходит, когда кто-то указывает имя 'отчет.pdf; whoami', и ассистент слепо передает всю записку терминалу, заставляя его напечатать отчет и прочесть бейдж администратора.

Ключевые понятия и термины

Web Application Security
Технический термин (Web Application Security): Core architecture component affected by CWE-918.
CWE-918
Технический термин (CWE-918): Standard Common Weakness Enumeration classification for command-injection-php.
Defense-in-Depth
Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Прием ненадежных параметров

Приложение принимает диагностические имена хостов, имена файлов или флаги напрямую из HTTP-запроса пользователя.

Step 2

Небезопасная конкатенация командной строки

Бэкенд формирует строку команды оболочки с помощью склеивания строк вместо использования вектора разделенных аргументов.

Step 3

Внедрение разделителей команд

Злоумышленник внедряет метасимволы оболочки, такие как ';', '&&', '|' или обратные кавычки (например, '127.0.0.1; id').

Step 4

Выполнение в подоболочке и компрометация

Командная оболочка ОС выполняет внедренную команду с привилегиями рабочего процесса веб-сервера.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ
<?php
// shell_exec with string concatenation
$ip = $_GET['ip'];
// Attacker input: "127.0.0.1 && cat /etc/shadow"
$output = shell_exec("ping -c 1 " . $ip);
echo $output;
?>
✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
<?php
// escapeshellarg escapes quotes and metacharacters
$ip = $_GET['ip'];

// Validate format first
if (!filter_var($ip, FILTER_VALIDATE_IP)) {
    die("Invalid IP address");
}

// Ensure argument is escaped and isolated
$safe_ip = escapeshellarg($ip);
$output = shell_exec("ping -c 1 " . $safe_ip);
echo htmlspecialchars($output);
?>

Чек-лист по защите системы для инженеров

References