Inyeccion de comandos en formulario web
La inyección de comandos en aplicativos web es una vulnerabilidad crítica que ocurre cuando una aplicación web permite que un atacante inyecte y ejecute comandos arbitrarios en el sistema operativo subyacente. Este tipo de ataque surge debido a una insuficiente validación o sanitización de los datos que la aplicación recibe, permitiendo que los usuarios maliciosos inyecten comandos del sistema operativo (OS) a través de formularios, URLs o cualquier punto de entrada de datos. Este tipo de vulnerabilidad se encuentra principalmente en aplicaciones web que ejecutan comandos del sistema como parte de su funcionalidad, ya sea para interactuar con archivos, servicios del sistema o realizar tareas administrativas.
¿Cómo surge una inyección de comandos?
Una inyección de comandos ocurre cuando la aplicación web toma los datos proporcionados por el usuario (inputs) y los pasa directamente a un intérprete de comandos del sistema operativo sin realizar una sanitización adecuada o sin implementar medidas de seguridad como el uso de funciones específicas que eviten la ejecución directa de comandos arbitrarios. Este problema generalmente surge en aplicaciones que interactúan con el sistema operativo a través de funciones como system(), exec(), popen(), o equivalentes en otros lenguajes de programación.
Vamos a snifear el trafico ICMP con TCPDUMP desde el servidor de WordPress y enviamos el ping desde el portal de ASPX hacia la ip privada del equipo de WordPress:
En la evidencia previa, se puede apreciar la recepción exitosa del trafico ICMP desde la IP 172.16.1.10 hacia la IP 172.16.1.12
En las auditorias webs, siempre es recomendable revisar el código fuente de la aplicación web:
El Código fuente de la aplicación es el siguiente:
Vamos a intentar realizar una inyección de comandos sobre el servidor por medio del carácter especial: &
Logramos apreciar que esta aplicación es vulnerable a la inyección de comandos por medio del &
En este punto podemos ejecutar varios comandos para enumerar el sistema afectado:
Last updated