Prévenir les vulnérabilités d'exécution de commandes en Java

Prévenir les vulnérabilités d'exécution de commandes en Java

Lors du développement d'applications Java, nous devons souvent appeler des commandes système pour effectuer certaines opérations, telles que l'exécution de commandes système pour effectuer une compression, une décompression, une copie de fichiers, etc. Cependant, sans précautions appropriées, ces opérations d’exécution de commandes peuvent entraîner un risque de vulnérabilités d’exécution de commandes. Cet article présentera certaines vulnérabilités courantes d'exécution de commandes et comment les éviter.

1. Risque de vulnérabilité d'exécution de commande

La vulnérabilité d'exécution de commande signifie que les données utilisateur saisies sont exécutées sous la forme de commandes système, ce qui permet à des attaquants malveillants d'effectuer des opérations arbitraires sur le serveur. Ce type de vulnérabilité injecte souvent des commandes exécutables dans l'application en saisissant des données contrôlables, telles que des paramètres saisis par l'utilisateur, des URL, etc.

Par exemple, le code suivant montre un exemple simple de vulnérabilité d'exécution de commande :

import java.io.*; public class CommandExecutionVulnerabilityExample { public static void main(String[] args) { String userInput = args[0]; try { String command = "ls " + userInput; Process process = Runtime.getRuntime().exec(command); process.waitFor(); BufferedReader reader = new BufferedReader(new InputStreamReader(process.getInputStream())); String line; while ((line = reader.readLine()) != null) { System.out.println(line); } reader.close(); } catch (IOException | InterruptedException e) { e.printStackTrace(); } } }

Dans l'exemple ci-dessus, les paramètres saisis par l'utilisateur sont directement intégrés à la commande pour exécution sans aucun filtrage ni vérification. Si un attaquant malveillant injecte des caractères spéciaux ou des commandes dansuserInput, cela peut provoquer l'exécution de commandes système inattendues. Par exemple, un attaquant pourrait saisiruserInput="; rm -rf /"pour supprimer l'intégralité du système de fichiers.userInput中，则可能导致执行非预期的系统命令。例如，攻击者可以输入userInput="; rm -rf /"来删除整个文件系统。

二、防范命令执行漏洞的方法

为了防范命令执行漏洞，我们需要在使用用户输入数据执行系统命令之前对输入进行严格的过滤和验证。

1. 输入校验

首先，我们需要对用户输入的数据进行合法性校验，只接受我们所期望的参数类型和格式。例如，如果只期望用户输入一个数字，我们可以使用正则表达式或其他方式来验证用户输入的参数是否符合数字的格式：userInput.matches("d+")。

2. 参数转义

其次，我们需要对用户输入的参数进行转义，确保特殊字符不会被当做命令的一部分执行。可以使用ProcessBuilder来执行系统命令，并将用户输入的参数以列表的形式传递给ProcessBuilder。

import java.io.BufferedReader; import java.io.IOException; import java.io.InputStreamReader; import java.util.ArrayList; import java.util.List; public class CommandExecutionPreventionExample { public static void main(String[] args) throws IOException { String userInput = args[0]; try { List command = new ArrayList<>(); command.add("ls"); command.add(userInput); ProcessBuilder processBuilder = new ProcessBuilder(command); Process process = processBuilder.start(); BufferedReader reader = new BufferedReader(new InputStreamReader(process.getInputStream())); String line; while ((line = reader.readLine()) != null) { System.out.println(line); } process.waitFor(); reader.close(); } catch (IOException | InterruptedException e) { e.printStackTrace(); } } }

在上述示例中，我们使用了ProcessBuilder

1. Vérification des saisies

2. Échappement des paramètres

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!