Ano ang isang command injection?

Ang isang iniksyon na utos ay isang pagsasamantala ng isang kahinaan ng system upang makakuha ng pag -access sa system para sa layunin ng pagpapatupad ng nakakahamak na code, pag -aani ng data ng gumagamit, at pagsali sa iba pang mga aktibidad.Habang may potensyal para sa isang iniksyon na utos na maging benign sa kalikasan, kadalasan hindi ito, at maaari itong ipakita ang isang makabuluhang banta sa seguridad.Mayroong isang bilang ng mga workarounds na idinisenyo upang maiwasan ang aktibidad na ito sa mga computer system.

Ang isa sa mga pinaka -karaniwang punto ng kahinaan para sa isang command injection ay isang form, alinman sa isang web page o sa isang computer system.Pinapayagan ng mga form ang mga tao na mag -input ng data at pagkatapos ay naproseso ng system.Kung walang mga hadlang sa uri ng data na ipinasok sa form, posible para sa mga tao na mag -input ng computer code na babasahin at isasagawa ng system.Ang mga form sa mga webpage ay maaari ring i -convert ang input upang ipakita sa iba pang mga gumagamit, na inilalantad din ang ibang mga tao sa code;Halimbawa, ang isang tao ay maaaring mag -iwan ng isang nakakahamak na script sa mga komento sa isang website.Malware sa isang computer system.Ang mga iniksyon na utos ay maaaring idinisenyo upang maikalat ang kanilang mga sarili, dahil ang mga nahawaang computer ay nakikipag -ugnay sa mga hindi na -impeksyon na computer sa isang network.Maaari silang kumalat nang napakabilis at maaaring maging sanhi ng malaking pinsala sa kahabaan ng paraan.Sa mga komento sa internet, halimbawa, malamang na walang lehitimong dahilan para sa mga gumagamit na magpasok ng mga script, at ang form ng komento ay maaaring tanggihan lamang ang script, habang pinapayagan pa rin ang HTML para sa markup at estilo.Gayundin, sa isang programa sa computer, ang mga form ng input ay maaaring tumanggi sa mga input ng ilang mga character, na pumipigil sa mga tao na mag -ehersisyo ng code sa form.

Ang potensyal na peligro na ipinakita ng command injection ay unang nabanggit noong 1990s.Maraming mga taga -disenyo ang nag -tackle sa problema at may iba't ibang mga paraan upang maiwasan o ihinto ang mga pag -atake ng iniksyon.Sinubukan din ng mga hacker na bumuo ng kanilang sariling mga workarounds, pagbuo ng bago at malikhaing paraan upang maisagawa ang code sa pamamagitan ng mga mahina na puntos sa isang computer system.Ang ilang mga tao ay nagkakaroon ng mga bagong pamamaraan sa labas ng purong pang -akademikong interes at paminsan -minsang napahamak nang hindi sinasadya kapag ang kanilang pananaliksik ay nakatakas sa ligaw, upang magsalita.