Command Injection: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(4 dazwischenliegende Versionen von 3 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
−
*Schwachstelle die es einem Angreifer erlaubt, Systemkommandos auf dem Server auszuführen.
+
*[[Comand-Execution-Exploits]]
−
 
+
*[[Command Injection Prinzip]]
−
=Voraussetzung=
+
*[[Command Injection Proof of Concept]]
−
* Security level: 0
+
*[[Command Injection OWASP]]
−
 
 
−
=Beispiel: Ausgabe Verzeichnislisting=
 
−
*Aufruf der DNS Lookup Maske
 
−
*OWASP 2017 -> A1 Injection (Other) -> Application Log Injection -> DNS Lookup
 
−
*Eingabe im Feld für die IP / den Hostnamen
 
−
www.xinux.de; ls -l
 
−
 
 
−
 
 
−
[[Datei:Mutillidae-4.png]]
 
−
*Ausgabe:
 
−
[[Datei:Mutillidae-5.png]]
 
−
 
 
−
*Weitere Interessante Möglichkeiten:
 
−
**Ausgabe von Netzwerkinformationen
 
−
**Ausgabe der Systembenutzer (/etc/passwd)
 
−
**Löschen von Daten (rm - abhängig von den Rechten des benutzers, unter dem die Webanwendung läuft.)
 
−
**...
 
−
 
 
−
=Gegenmassnahmen=
 

Aktuelle Version vom 1. Februar 2024, 13:47 Uhr