Differences

This shows you the differences between two versions of the page.

--- command_injection [2023/11/09 16:13] – zrinka
+++ command_injection [2026/06/12 18:21] (current) – //host// višak mbunic
@@ Line 1: / Line 1: @@
 ====Command injection====
-**Command injection** je tip napada u kojem napadač izvršava proizvoljne naredbe na host operacijskom sustavu kroz neku ranjivu aplikaciju. Ranjivost se obično očituje u nedostatku validacije korisničkog unosa. Nesigurni se podatci najčešće prenose putem formi i kolačića. Ovo je jedan od opasnijih napada jer napadaču omogućuje eskalaciju ovlasti čak do te mjere da može brisati datoteke na računalu za koje ne bi trebao bi znati da postoje. Uz to, naredba se može izvesti na sistemskoj ljusci, što znači da napadač ima mogućnost utjecati na cijeli operacijski sustav.
+**Command injection** je tip napada u kojem napadač izvršava naredbe na operacijskom sustavu poslužitelja kroz neku ranjivu aplikaciju. Ranjivost nastaje kada se korisnički unos, bez odgovarajuće validacije, izravno ili neizravno koristi za sastavljanje naredbe koja se izvršava u ljusci operacijskog sustava (engl. //shell//, npr. Bash na Linuxu ili PowerShell na Windowsima). Primjeri korisničkih unosa u web-aplikaciji koji se mogu naknadno koristiti za sastavljanje naredbi za izvršavanje u ljusci operacijskog sustava mogu biti podaci iz obrazaca (formi), kolačića, URL parametara te ponekad čak i korisnička imena ili lozinke.
-Uzmimo za primjer naredbu cat (concatenate) u Linuxu koja služi kako bi korisnik mogao vidjeti sadržaj neke datoteke u čitljivom formatu:
+Ovaj napad omogućuje napadaču izvršavanje naredbi s privilegijama korisnika pod kojim se izvršava web-aplikacija, no ako sustav nije ispravno konfiguriran, može doći do podizanja razine privilegija (engl. //privilege escalation//) do administratorskog korisnika, što napadaču daje potpunu kontrolu sustava.
+Uzmimo za primjer naredbu **cat** (od engl. //concatenate//) u Linuxu koja se koristi za prikaz sadržaja datoteka:
 <file>
-int main(char* argc, char** argv) {
+int main(int argc, char** argv) {
     char cmd[CMD_MAX] = "/usr/bin/cat ";
     strcat(cmd, argv[1]);
@@ Line 12: / Line 15: @@
 </file>
-Ključna stvar koju treba primijetiti je da korisnik nema mogućnost uređivanja te datoteke, već ju samo može čitati. Funkcija kao argument prima naziv datoteke, primjerice: cat filename.txt
+Funkcija **system()** predaje sastavljeni niz znakova ljusci operacijskog sustava na izvršavanje.
-Međutim, korisnik bi mogao unijeti nešto drugačiji upit, primjerice
+Ovaj kod bi trebao korisniku omogućiti isključivo čitanje drugih datoteka Linux naredbom **cat**, pri tome je korištena apsolutna putanja do izvršne datoteke "/usr/bin/cat" (ekvivalentno kao samo pozivanje naredbe cat, koristi se ista izvršna datoteka). Program kao argument prima naziv datoteke, primjerice: "filename.txt", nakon čega bi konstruirana naredba bila "cat filename.txt". Međutim, korisnik bi mogao unijeti zlonamjeran unos, primjerice:
 <code>
-cat ;rm -rf /
+filename.txt; rm -rf /
 </code>
-Rm je funkcija za brisanje (remove),  -r je opcija koja označava rekurzivno brisanje, odnosno brisanje svih poddirektorija, a –f znači force, dakle korisnika se ne traži dopuštenje za brisanje svake datoteke. / je oznaka za home direktorij u Linux sustavima.
-Ovo je primjer command injectiona jer je u naredbu za čitanje datoteke ubačena naredba rm -rf.  Poziv funkcije system() neće uspjeti jer je argument neispravan. No, budući da je ; znak koji odjeljuje naredbe (u Unix sustavima),  “rm -rf /” se izvodi kao zasebna naredba i briše sve datoteke i direktorije iz home direktorija nekog sustava. Već se na ovome primjeru vidi potencijal za eskalaciju ovlasti u command injection napadu. Korisnik je umjesto čitanja datoteke dobio mogućnost brisanja ostalih datoteka na tom računalu koje nisu ni izravno povezane s datotekom koju je čitao.
-Drugi je primjer internetska trgovina koja ima tražilicu proizvoda i prima parametre preko URL-a. Primjerice, upit
+Nakon ovog unosa konačna sastavljena naredba bi bila:
 <code>
-https://insecure-webshop.com/stockStatus?productID=381&storeID=29
+/usr/bin/cat filename.txt; rm -rf /
 </code>
-pretražuje postoji li proizvod s id-jem 381 u trgovini s id-jem 29. Sustav zatim parsira upit tako što izvuče productID i storeID te izvede naredbu koja može izgledati ovako:
+Točka-zarez (;) je znak koji odjeljuje naredbe (u Linux i Unix sustavima), tako da ovaj unos odgovara pokretanju dviju naredbi.
 <code>
-stockreport.pl 381 29
+/usr/bin/cat filename.txt
+rm -rf /
 </code>
-Međutim, napadač bi mogao unijeti sljedeće:
+**rm** je naredba za brisanje (od engl. //remove//),  -r je opcija koja označava rekurzivno brisanje, odnosno brisanje svih poddirektorija, a -f označava prisilno izvršavanje bez traženja dodatne potvrde korisnika. Kosa crta (/) označava korijenski (engl. root) direktorij datotečnog sustava u Linuxu.
+Ovo je primjer napada command injection jer je u legitimnu naredbu za čitanje datoteke umetnuta dodatna naredba **rm -rf /**.
+Nakon izvođenja naredbe čitanja datoteke "filename.txt", pokreće se naredba "rm -rf /", koja pokušava rekurzivno brisati sve datoteke i direktorije počevši od root direktorija, efektivno brišući sve što je dostupno procesu.
+Drugi je primjer internetska trgovina koja nudi tražilicu proizvoda za koju prima parametre putem URL-a. Primjerice, upit
 <code>
-https://insecure-website.com/stockStatus?productID= & echo aiwefwlguh &storeID=29
+https://insecure-webshop.com/stockStatus?productID=381&storeID=29
 </code>
-Dakle, umjesto productID parametra unio je **& echo aiwefwlguh**.Nakon parsiranja izvršava se :
+pretražuje postoji li proizvod s ID-om 381 u trgovini s ID-om 29. Sustav zatim parsira upit tako što izvlači vrijednosti productID i storeID parametara te zatim izvršava naredbu koja izgleda ovako:
 <code>
-stockreport.pl & echo aiwefwlguh & 29
+stockreport.pl 381 29
 </code>
-Prvi se izvodi stockreport.pl koji nema argumente, dakle unos je neispravan. Nakon njega postoji još jedna naredba (echo aiwefwlguh) koja se nesmetano izvede, iako u sustavu nije predviđena. U ovome slučaju nije bila maliciozna naredba, ali služi za demonstraciju mogućnosti ubacivanja naredbe koja bi mogla napraviti štetu na sustavu. Zatim ide znak & koji služi za razvdajanje parametara u URL-u te ostaje "29" što sustav pokušava pročitati kao naredbu, ali ne postoji pa se ni ne izvede.\\
-Command injection moguć je i u naredbama koje ne zahtjevaju unos korisnika ako napadač manipulira varijablama okruženja. Primjerice, napadač može promijeniti varijablu APPHOME koja u ovome primjeru određuje lokaciju gdje će  se aplikacija instalirati:
-<file>
-char* home=getenv("APPHOME");
-char* cmd=(char*)malloc(strlen(home)+strlen(INITCMD));
-if (cmd) {
-    strcpy(cmd,home);
-    strcat(cmd,INITCMD);
-    execl(cmd, NULL);
-}
-</file>
-Skripta dohvaća varijablu okruženja APPHOME (varijabla home) i lokaciju radni direktorij (varijabla cmd). Ako naredba postoji, varijabla okruženja se kopira na to mjesto. Ranjivost se krije u tome što nema nikakve provjere APPHOME varijable. To znači da, ako napadač promijeni varijablu APPHOME na neku putanju koja sadrži malicioznu verziju inicijalizacijske skripte (INITCMD), ona će se izvršiti zajedno s kodom koji bi inače trebao.
+Međutim, napadač bi mogao unijeti sljedeće:
+<code>
+https://insecure-website.com/stockStatus?productID=;cat&storeID=/etc/passwd
+</code>
+Kao vrijednost parametra productID, umjesto broja, uneseno je **;cat**, dok je kao vrijednost parametra storeID uneseno **/etc/passwd**. Nakon parsiranja izvršava se:
-Također, napadač bi mogao izvesti ovu naredbu za promjenu lozinke:
 <code>
-system("cd /var/yp && make &> /dev/null");
+stockreport.pl;cat /etc/passwd
 </code>
-Naredba mijenja radni direktorij u /var/yap i tamo poziva make. Ona je sama po sebi sigurna jer nema korisničkog unosa, što znači da ju ni napadač ne može izmijeniti. Međutim, budući da nije zadana apsolutna putanja do make filea, ako napadač promijeni $PATH varijablu okruženja, može na tu putanju unijeti malicioznu verziju make binarne datoteke.
+Prvo se pokušava izvesti stockreport.pl, ali bez postavljenih argumenata, što je neispravan unos te se izvršavanje ove naredbe završava greškom. Ova greška ne utječe na naredbu koja se izvršava nakon operatora točka-zarez za odjeljivanje naredbi.
+Nakon toga se pokreće sljedeća naredba **cat /etc/passwd** koja se uspješno izvršava. Ako se rezultat izvršavanja naredbe ispisuje u odgovoru poslužitelja, bit će prikazan sadržaj datoteke /etc/passwd.
-Ukratko, command injection napad može se izvesti u naredbama koja nemaju dobro provedenu validaciju korisničkog unosa. Kako bi se izbjegao, aplikacija ne bi trebala ignorirati svaki unos koji djeluje neispravno, već bi trebala pogledati postoji li nešto u toj naredbi što bi moglo potencijalno biti command injection napad.
-__**PRIMJER**__ **Zadatak sa Hacknite platforme - Linux ROT13**
+U oba opisana primjera, kada bi validacija korisničkog unosa bila adekvatno implementirana, primjerice dozvoljavanjem unosa samo brojeva za parametre te odbacivanjem unosa koji sadrže operator točka-zarez ili druge specijalne znakove (&, /, razmak, *, itd.), ranjivost ne bi postojala. Još bolji pristup je, umjesto zabranjivanja znakova (engl. //blacklist//), ograničiti unos tako da smije sadržavati samo znakove iz dozvoljenog skupa (engl. //whitelist//). Za parametre bi u tom slučaju jedini dozvoljeni znakovi za unos bile znamenke 0–9, a za prvi primjer samo znakovi koji se mogu pojaviti unutar imena datoteke.
+__**PRIMJER**__ **Zadatak s Hacknite platforme - Linux ROT13**
 <file>
 Ivica obožava raditi s Linuxom, i pokušava koristiti Linux naredbe gdje god može. Budući da mu je trebao
 ROT13 kalkulator za CTF natjecanje, odlučio je napraviti web stranicu na kojoj se nalazi ROT13 kalkulator
-napravljen pomoću Linux naredbi.
+napravljen uz pomoć Linux naredbi.
-Flag je u formatu CTF2021[brojevi]
+Flag je u formatu CTF2021[brojevi].
 http://chal.platforma.hacknite.hr:10013
 </file>
@@ Line 78: / Line 94: @@
 {{ :cmdi-rj1.png?600 |}}
-Objašnjenje: \\
 Sustav očekuje tekst koji će kodirati Cezarovom šifrom. Budući da smo mi unijeli oznaku kraja naredbe (;), ta je naredba neispravna, ali nije nikako definirano da se nakon toga ne smije definirati neka druga naredba. Mi smo dodali naredbu cat .../flag i, iako je prva naredba možda bacila grešku, druga je izvedena. Navodnici su važni jer imamo razmake između riječi.\\
-Primijetimo da smo istu stvar mogli postići da smo dodali u URL ///rot13.php?tekst='%3B+cat+..%2Fflag%3B'//
+Primijetimo da smo istu stvar mogli postići da smo u URL dodali //rot13.php?tekst='%3B+cat+..%2Fflag%3B'//.\\
+Objasnimo točno zašto ovo funkcionira. Najčešće se korisnički zahtjevi šalju tzv. POST zahtjevom. On se često na neki način kodira i nadodaje na trenutni URL. U ovom slučaju koristi se ASCII kodiranje, no postoje još neke metode. Nije presudno da korisnik zaista upiše podatak u polje koje je predviđeno za to budući da bi se njegov unos ionako prenio u URL i nakon toga dalje obradio. Tekst "; cat /flag;" kad se kodira u URL na kraju ispadne upravo //%3B+cat+..%2Fflag%3B// jer: \\
+Oznaka **%3B** označava **;**\\
+**+** označava **razmak**.\\
+**%2F** je oznaka za **/**. \\
-__**PRIMJER**__ **Zadatak sa Hacknite platforme - Linux naredbe**
+__**PRIMJER**__ **Zadatak s Hacknite platforme - Linux naredbe**
 <file>
 Kroz učenje razvoja web stranica Ivica sve više uči i o Linuxu. Kako bi uspješno zapamtio sve što je naučio o Linux naredbama te ujedno vježbao izradu web stranica, napravio je interaktivnu web stranicu koja demonstrira što rade različite Linux naredbe.
@@ Line 90: / Line 109: @@
 </file>
-Rješenje je slično prethodnom, samo što nemamo prostor za korisnički unos, već unosimo naredbu u URL. Pri tome moramo paziti na kodiranje znakova. Oznaka %20 označava razmak. Ako želimo izvesti naredbu preko URL-a, moramo zadati naredbu (parametar //cmd//) i argumente (parametar //arg//). Zadat ćemo neku nepostojeću naredbu koja će baciti grešku (npr. neki broj), a cijelu malicioznu naredbu stavit ćemu u argument. Isto kao i prije, krenut ćemo oznakom kraja naredbe (;) i nakon toga upisati cat naredbu datoteke koju želimo pročitati. Budući da stranice predefinirano povlače datoteke s putanje /var/www, pretpostavit ćemo da postoji datoteka "flag" na toj putanju i na trenutni URL u tražilici dodati sljedeće:
+Rješenje je slično prethodnom, samo što nemamo prostor za korisnički unos, već unosimo naredbu u URL. Pri tome moramo paziti na kodiranje znakova. U ovom se slučaju koristi klasično URL kodiranje. Oznaka %20 označava razmak. Ako želimo izvesti naredbu preko URL-a, moramo zadati naredbu (parametar //cmd//) i argumente (parametar //arg//). Zadat ćemo neku nepostojeću naredbu koja će baciti grešku (npr. neki broj), a cijelu malicioznu naredbu stavit ćemo argument. Isto kao i prije, krenut ćemo oznakom kraja naredbe (;) i nakon toga upisati cat naredbu datoteke koju želimo pročitati. Budući da stranice predefinirano povlače datoteke s putanje /var/www, pretpostavit ćemo da postoji datoteka "flag" na toj putanju i na trenutni URL u tražilici dodati sljedeće:
 <code>http://.../linux.php?cmd=3&arg=;%20cat%20/var/www/flag</code>
 To je ujedno i naše rješenje.
+{{ :cmdi-rj2.png?600 |}}
 ===Izvori===
 [1]https://owasp.org/www-community/attacks/Command_Injection \\
 [2]https://www.imperva.com/learn/application-security/command-injection/\\
 [3]https://portswigger.net/web-security/os-command-injection\\
+[4]https://platforma.hacknite.hr/challenges\\