Coders Conquer Security: Share & Learn-Serie – OS Command Injection

Ein OS-Command-Injection-Angriff kann immer dann auftreten, wenn eine Anwendung Benutzereingaben in einer Shell zulässt, ohne zu überprüfen, ob die Eingabezeichenfolgen gültig sind. Dies ermöglicht es einem Angreifer, Befehle direkt in das Betriebssystem einzuschleusen, auf dem die Anwendung gehostet wird – und zwar mit den Berechtigungen, die für die kompromittierte Anwendung festgelegt sind.  

OS-Command-Injection-Angriffe können auch von unerfahrenen Hackern durchgeführt werden, was sie zu einer der häufigsten Schwachstellen macht, mit denen Sicherheitsteams konfrontiert sind. Glücklicherweise gibt es eine Reihe sehr effektiver Methoden, um diese Angriffe erfolgreich abzuwehren. In dieser Folge erfahren Sie:

       Wie sie funktionieren

       Warum sie so gefährlich sind

       Wie Sie Schutzmaßnahmen ergreifen können, um sie zu stoppen.

Wie nutzen Angreifer OS-Command-Injection?

Der erste Schritt eines Angreifers bei einer OS-Command-Injection besteht darin, Benutzereingaben innerhalb einer Anwendung zu finden. Formulare, die Benutzer ausfüllen, sind potenzielle Ansatzpunkte. Raffinierte Angreifer können auch Cookies oder sogar HTTP-Header als Ausgangspunkt nutzen – Elemente, die von fast jeder Anwendung oder Website verwendet werden.

Der zweite Schritt besteht darin, herauszufinden, welches Betriebssystem die Anwendung hostet. Da es nur eine Handvoll Möglichkeiten gibt, reicht in dieser Phase oft einfaches Ausprobieren. Die meisten Anwendungsserver basieren entweder auf Windows (die Windows-Version spielt dabei meist keine Rolle), einer Linux-Distribution oder möglicherweise Unix.

Anschließend modifiziert der Hacker die Eingabe, um einen Betriebssystembefehl in eine eigentlich harmlose Eingabe einzuschleusen. Dies kann das Host-Betriebssystem dazu verleiten, unbeabsichtigte Befehle mit den Berechtigungen der Anwendung auszuführen.

Der folgende Befehl kann beispielsweise von berechtigten Benutzern innerhalb einer Anwendung verwendet werden, um den Inhalt einer Datei anzuzeigen – in diesem Fall die Notizen einer monatlichen Vorstandssitzung.

exec("cat " + filename)

In unserem Beispiel würde dies den folgenden Befehl ausführen und die Sitzungsnotizen an den Benutzer zurückgeben.

$ ./cat MeetingNotes.txt

Drei Mitglieder des Exekutivkomitees waren bei der Sitzung im Juli anwesend. Das neue Budgetprojekt wurde besprochen, aber es wurden keine Maßnahmen ergriffen oder Abstimmungen durchgeführt.

Dies geschieht, wenn ein Angreifer am Ende der Eingabe zusätzliche Befehle hinzufügt, wie etwa den Befehl zum Auflisten des Verzeichnisinhalts unter Linux. In diesem Fall wird der ursprüngliche Befehl zur Anzeige der Sitzungsnotizen zwar weiterhin ausgeführt, aber der bösartige Benutzer erhält zusätzlich den gesamten Verzeichnisinhalt angezeigt und erfährt, welche weiteren Befehle er für nachfolgende OS-Command-Injection-Angriffe nutzen kann. Er gibt ein:

$ ./cat MeetingNotes.txt && ls

Nehmen Sie stattdessen dies:

Drei Mitglieder des Exekutivkomitees waren bei der Sitzung im Juli anwesend. Das neue Budgetprojekt wurde besprochen, aber es wurden keine Maßnahmen ergriffen oder Abstimmungen durchgeführt.

MeetingNotes.txt
JuneMeetingNotes.txt
MayMeetingNotes.txt
format.c
misnull.c
notefault.c
trunc.c
writewhatwhere.c

Wie Sie sehen, wurde dem Hacker in diesem Fall nicht nur der Inhalt des Verzeichnisses angezeigt, sondern er erhielt auch ein Menü mit weiteren Befehlen, die er verwenden konnte – Befehle, von denen er nun weiß, dass er sie auf dem Host-Betriebssystem ausführen kann.

Warum sind OS-Command-Injection-Angriffe so gefährlich?

Es ist extrem riskant, Benutzern zu erlauben, den Zweck der Zielanwendung zu umgehen und sie zum Ausführen von Betriebssystembefehlen zu missbrauchen. Ein Angreifer kann problemlos verheerende Aktionen durchführen, wie zum Beispiel vertrauliche Daten stehlen oder ein gesamtes Serverlaufwerk formatieren. Die Möglichkeiten eines Angreifers sind lediglich durch die im Betriebssystem zulässigen Befehle und seine eigene Kreativität bei deren Nutzung begrenzt.

Betriebssystembefehle werden mit derselben Berechtigungsstufe wie die Anwendung ausgeführt. Wenn Anwendungen mit Administratorrechten laufen, können Hacker, die diese kompromittieren, jeden beliebigen Betriebssystembefehl ausführen.

Die Angriffsmuster für OS Command Injection sind hinlänglich bekannt und dokumentiert. Eine anfällige Anwendung ist für „Script Kiddies“ genauso leicht angreifbar wie für professionelle Hacker. Angreifer mit geringen Kenntnissen können versuchen, Betriebssystembefehle per Copy-and-Paste in Anwendungen einzufügen, um zu sehen, was passiert.

Sicherheit gegen OS Command Injections erreichen

Es gibt mehrere bewährte Techniken, um OS Command Injections zu stoppen. Der erste Schritt besteht darin, Anwendungen mit den minimal erforderlichen Berechtigungen auszuführen. Dies verhindert zwar keinen Angriff, minimiert jedoch den Schaden, falls es zu einer Sicherheitsverletzung kommt.

Die meisten Programmiersprachen und Frameworks bieten API-Aufrufe für gängige Betriebssystemmethoden an, wie etwa das Auflisten von Verzeichnisinhalten oder das Erstellen und Lesen von Dateien auf der Festplatte. Ein idealer Weg, um OS Command Injections aus Ihrer Umgebung zu eliminieren, besteht darin, dass alle Anwendungen diese API-Aufrufe anstelle von direkten Betriebssystembefehlen verwenden.

Wo dies nicht möglich ist, sollten Benutzereingaben validiert werden, bevor sie in Betriebssystembefehlen verwendet werden. Mithilfe von Whitelists lässt sich sicherstellen, dass nur eine kleine Menge vertrauenswürdiger Werte verwendet werden kann. Technisch ist dies zwar auch mit einer Blacklist möglich, aber da es meist weit weniger erlaubte Befehle gibt, ist eine Whitelist fast immer einfacher. Vergessen Sie nicht, gültige POST- und GET-Parameter sowie oft übersehene Eingabevektoren wie Cookies in Ihre Whitelist aufzunehmen.

Wenn schließlich keine Programmier-API verfügbar ist und keine Whitelist verwendet werden kann, nutzen Sie eine Sanitization-Bibliothek, um Sonderzeichen in Benutzereingaben zu maskieren, bevor diese in Betriebssystembefehlen verwendet werden.

Weitere Informationen zu OS-Command-Injection-Angriffen

Für weiterführende Informationen können Sie sich den Artikel von OWASP über OS-Command-Injection-Angriffe ansehen. Sie können Ihr neu gewonnenes Verteidigungswissen auch mit der kostenlosen Demo der Secure Code Warrior-Plattform testen, die Cybersicherheitsteams zu erstklassigen Cyber-Experten ausbildet. Um mehr darüber zu erfahren, wie Sie diese und eine Vielzahl anderer Bedrohungen abwehren, besuchen Sie den Secure Code Warrior-Blog.