Codificadores conquistan la seguridad: Serie Compartir y Aprender - Inyección de comandos del SO

Un ataque de inyección de comandos en el SO puede ocurrir siempre que una aplicación permita a los usuarios introducir datos en un shell, pero no tome medidas para verificar que dichas cadenas de entrada sean válidas. Esto permite a un atacante insertar comandos directamente en el sistema operativo que aloja la aplicación, con los niveles de permisos que tenga configurados la aplicación comprometida.  

Los ataques de inyección de comandos en el SO pueden ser ejecutados por hackers principiantes o con pocos conocimientos, lo que los convierte en una de las vulnerabilidades más comunes a las que se enfrentan los equipos de seguridad. Afortunadamente, existen varias formas muy eficaces de evitar que tengan éxito. En este episodio, aprenderemos:

       Cómo funcionan

       Por qué son tan peligrosos

       Cómo implementar defensas para detenerlos.

¿Cómo utilizan los atacantes la inyección de comandos en el SO?

Lo primero que debe hacer un atacante para iniciar un ataque de inyección de comandos en el SO es localizar las entradas de usuario dentro de una aplicación. Los formularios que rellenan los usuarios son posibles puntos de partida. Los atacantes más hábiles también pueden utilizar elementos como cookies o incluso cabeceras HTTP como punto de lanzamiento, algo que utiliza casi cualquier aplicación o sitio web.

Lo segundo que deben hacer es averiguar qué sistema operativo aloja la aplicación. Dado que solo hay unas pocas opciones, el método de prueba y error funciona perfectamente en esta fase. La mayoría de los servidores de aplicaciones se basan en Windows (la versión de Windows normalmente no importa), algún tipo de sistema Linux o, posiblemente, Unix.

En ese momento, el hacker modifica la entrada para inyectar un comando del sistema operativo en lo que parece una entrada inofensiva. Esto puede engañar al SO anfitrión para que ejecute comandos no deseados con el nivel de permisos que tenga la aplicación.

Por ejemplo, los usuarios autorizados de una aplicación pueden utilizar el siguiente comando para ver el contenido de un archivo, en este caso, las notas de una reunión mensual de la junta directiva.

exec("cat " + filename)

En nuestro ejemplo, esto ejecutaría el siguiente comando y devolvería las notas de la reunión al usuario.

$ ./cat MeetingNotes.txt

Tres miembros del comité ejecutivo estuvieron presentes en la reunión de julio. Se debatió el nuevo proyecto de presupuesto, pero no se tomaron medidas ni se realizaron votaciones.

Esto es lo que sucede cuando un atacante añade comandos adicionales al final de la entrada, como el que se utiliza para listar el contenido de un directorio en Linux. En este caso, el comando original, que muestra las notas de la reunión, sigue ejecutándose. Pero al usuario malintencionado también se le muestra todo lo que hay en el directorio y qué otros comandos puede utilizar en futuros ataques de inyección de comandos en el SO. Introducen:

$ ./cat MeetingNotes.txt && ls

Y obtén esto en su lugar:

Tres miembros del comité ejecutivo estuvieron presentes en la reunión de julio. Se debatió el nuevo proyecto de presupuesto, pero no se tomaron medidas ni se realizaron votaciones.

NotasReunion.txt
NotasReunionJunio.txt
NotasReunionMayo.txt
formato.c
misnull.c
notefault.c
trunc.c
escribirqueonde.c

Como puede ver, en este caso, al hacker no solo se le mostró el contenido del directorio, sino que también se le dio un menú de otros comandos que podía usar; comandos que ahora sabe que puede ejecutar en el sistema operativo anfitrión.

¿Por qué son tan peligrosos los ataques de inyección de comandos del SO?

Permitir que los usuarios eludan el propósito de la aplicación objetivo y la utilicen para ejecutar comandos del sistema operativo es extremadamente arriesgado. Un atacante puede realizar fácilmente acciones devastadoras, como robar datos confidenciales o formatear la unidad de un servidor completo. Las opciones disponibles para un atacante solo están limitadas por los comandos permitidos en el sistema operativo y su creatividad para usarlos.

Los comandos del SO se ejecutan con el mismo nivel de permisos que la aplicación. Si las aplicaciones se ejecutan con privilegios administrativos, los hackers que las comprometan podrán ejecutar cualquier comando del SO.

Los patrones de ataque para la inyección de comandos del SO son bien conocidos y están documentados. Una aplicación vulnerable es tan susceptible a los aficionados como a los hackers profesionales. Los atacantes con muy poca habilidad pueden intentar copiar y pegar comandos del SO en las aplicaciones para ver qué sucede.

Obtener una validación de seguridad contra inyecciones de comandos del SO

Existen varias técnicas eficaces para detener las inyecciones de comandos del SO. El primer paso es ejecutar las aplicaciones con la menor cantidad de privilegios necesarios para cumplir su función. Esto no evita un ataque, pero si se produce una brecha, el daño se minimiza.

La mayoría de los lenguajes de programación y marcos de trabajo proporcionan llamadas a la API para métodos comunes del SO, como listar el contenido de directorios o crear y leer archivos en el disco duro. Una forma perfecta de eliminar las inyecciones de comandos del SO de su entorno es hacer que todas las aplicaciones utilicen estas llamadas a la API en lugar de comandos del SO directamente.

Cuando esto no sea posible, valide las entradas del usuario antes de usarlas en comandos del SO. Se pueden usar listas blancas para garantizar que solo se utilice un pequeño conjunto de valores confiables. Técnicamente es posible hacer esto también con una lista negra, pero probablemente haya muchas menos opciones permitidas, por lo que la lista blanca es casi siempre más fácil. No olvide incluir parámetros POST y GET válidos en su lista blanca, así como vectores de entrada de usuario que a menudo se pasan por alto, como las cookies.

Por último, si no hay una API de programación disponible y no se puede usar una lista blanca, utilice una biblioteca de saneamiento para escapar cualquier carácter especial en las entradas del usuario antes de usarlas en comandos del SO.

Más información sobre los ataques de inyección de comandos del SO

Para seguir leyendo, puede consultar el artículo de OWASP sobre ataques de inyección de comandos del SO. También puede poner a prueba sus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para obtener más información sobre cómo derrotar esta vulnerabilidad y una galería de otras amenazas, visite el blog de Secure Code Warrior.