1 Java中的命令注入

在Java中的Runtime.getRuntime本質就是使用ProcessBuilder，以ProcessBuilder裡用ProcessImpl,start 的一個子程序執行命令,

Java的native呼叫

a.Windows是CreateProcessW 建立子程序執行命令

b.Unix中以enecve 來建立子程序執行命令

Java並沒有使用system函式進行建立子程序執行命令，通常我們也知道system的函式非常容易發生注入風險，比如system(“ls “+”test;rm *”); 後面部分是使用者輸入的，使用者輸入通過注入符號;和後續指令rm *，被系統執行。

 execve, CreateProcessW 函式通過執行命令和引數分別傳遞的方式，這種方式杜絕了system的拼接命令的方式，有一定的安全性，但也未必是安全的。

1.1      引數直接用於命令執行

如果傳入的引數對原執行命令來說是用於執行的情況下，enecve, createprocessW無法防護

1.        Windows下的

cmd.exe /K 引數可以批量執行命令

String btype = request.getParameter("inputparam");
String cmds[] = {"cmd.exe","/K","\"C: &&del C:\\r2.txt”+btype+” &&del C:\\r1.txt \""};
System.Runtime.getRuntime().exec(cmds);
 

雖然此時傳入的引數是用於cmd.exe的，但因為cmd.exe 使用了/K引數,將後續傳入的引數用於命令執行，如果傳入&&del *,最後變成

cmd.exe /K “del C:\\test1.txt && del *&&del C:\\test2.txt”

2.        Unix 下的

• /bin/bash 引數，輸入引數直接作為命令執行

String btype = request.getParameter("test");
String cmds[] = {"/bin/bash ","test.sh"+btype};
System.Runtime.getRuntime().exec(cmds);
 

/bin/bash test.sh;rm *

• /bin/bash –c 引數，後續輸入引數為執行命令

String btype = request.getParameter("inputparam");
String cmds[] = {"/bin/bash ","-c","sh script.sh"+btype};
System.Runtime.getRuntime().exec(cmds);

此時傳入的引數是用於bash執行指令碼檔案的，但因為使用了-c引數，使後續傳入的引數用於命令執行，如果傳入;rm *,最後等效於

/bin/bash –c “sh script.sh; rm *”

上述的例子提示只要在實際應用過程中，傳入的引數（例如上例的sh script.sh;）是用於執行程式內部(例如sh -c,cmd.exe/k)執行命令的，execve,CreateProcessW函式就無法防護，此時用法等效於system(“sh script.sh;rm *”)函式

1.2       引數編碼

對用於常見的用於shell執行的符號進行轉碼，避免命令注入的風險

例如：Unix 中

可以通過編碼方式，避免命令的注入

/bin/bash script.sh\;rm *

/bin/bash –c “sh script.sh\; rm *” 

• 多字元需要轉義每個字元

比如:  >> 需要轉義成\>\>

•   編碼方式的注意點：

編碼是指在呼叫函式之前需要對引數進行編碼，不需要多次編碼。

比如說在某個script.sh test.sh\;rm *裡面繼續還有命令呼叫，而這個命令是用引數傳入

sh $1

上述的解決方案並不是對test.sh;rm * 做兩次編碼，對script.sh來說傳入引數test.sh;rm *只需要做一次編碼，而在script.sh裡需要對輸入的引數$1在進行一次編碼，遵循誰呼叫誰編碼的原則。

1.3       引數過濾

• 白名單保護

如果命令的引數是有特徵性的建議使用白名單對輸入的引數進行保護

比如允許[a-z][A-Z][0-9] _- 等有限的字元

•  黑名單保護

a.      |;&$><`\! 可以將這些字元直接作為黑名單過濾

b.      \t\n\r\f \u0000 這些字元需要作為黑名單過濾，特別是空字元截斷 \u0000 (這個在JVM6裡是沒有保護)