Les développeurs renforcent la sécurité : Série Partage & Apprentissage - Injection de commandes OS

Une attaque par injection de commandes OS peut survenir lorsqu'une application permet aux utilisateurs de saisir des données dans un shell sans vérifier la validité des chaînes de caractères. Cela permet à un attaquant d'exécuter des commandes directement sur le système d'exploitation hébergeant l'application, avec les niveaux de privilèges définis pour celle-ci.  

Les attaques par injection de commandes OS peuvent être menées par des pirates débutants ou peu qualifiés, ce qui en fait l'une des vulnérabilités les plus courantes auxquelles les équipes de sécurité sont confrontées. Heureusement, il existe de nombreuses méthodes très efficaces pour les empêcher de réussir. Dans cet épisode, nous verrons :

       Comment elles fonctionnent

       Pourquoi elles sont si dangereuses

       Comment mettre en place des défenses pour les contrer.

Comment les attaquants utilisent-ils l'injection de commandes OS ?

La première étape pour un attaquant souhaitant initier une injection de commandes OS consiste à localiser les entrées utilisateur au sein d'une application. Les formulaires remplis par les utilisateurs constituent souvent de bons points de départ. Les attaquants les plus ingénieux peuvent également utiliser des cookies ou même des en-têtes HTTP, des éléments présents dans la quasi-totalité des applications ou sites web.

La deuxième étape consiste à identifier le système d'exploitation qui héberge l'application. Comme il n'existe qu'un nombre limité de choix, la méthode par essais et erreurs fonctionne généralement très bien à ce stade. La plupart des serveurs d'applications sont basés sur Windows (la version importe peu), sur une distribution Linux ou éventuellement sur Unix.

À ce stade, le pirate modifie l'entrée pour injecter une commande système dans ce qui semble être une donnée anodine. Cela peut tromper le système d'exploitation hôte et l'amener à exécuter des commandes non désirées avec les privilèges de l'application.

Par exemple, la commande suivante peut être utilisée par des utilisateurs légitimes au sein d'une application pour consulter le contenu d'un fichier, ici les notes d'une réunion de conseil d'administration mensuelle.

exec("cat " + filename)

Dans notre exemple, cela exécuterait la commande suivante et renverrait les notes de réunion à l'utilisateur.

$ ./cat MeetingNotes.txt

Trois membres du comité exécutif étaient présents lors de la réunion de juillet. Le nouveau projet budgétaire a été abordé, mais aucune mesure n'a été prise et aucun vote n'a eu lieu.

Voici ce qui se passe lorsqu'un attaquant ajoute des commandes supplémentaires à la fin de l'entrée, comme celle utilisée pour lister le contenu d'un répertoire sous Linux. Dans ce cas, la commande initiale, qui affiche les notes de réunion, s'exécute normalement. Mais l'utilisateur malveillant obtient également la liste de tout ce qui se trouve dans le répertoire, ce qui lui permet de préparer d'autres attaques par injection de commandes OS. Il saisit :

$ ./cat MeetingNotes.txt && ls

Optez plutôt pour ceci :

Trois membres du comité exécutif étaient présents lors de la réunion de juillet. Le nouveau projet budgétaire a été abordé, mais aucune mesure n'a été prise et aucun vote n'a eu lieu.

NotesReunion.txt
NotesReunionJuin.txt
NotesReunionMai.txt
format.c
misnull.c
notefault.c
trunc.c
writewhatwhere.c

Comme vous pouvez le constater, dans ce cas, le pirate a non seulement pu voir le contenu du répertoire, mais il a également reçu un menu d'autres commandes qu'il pouvait utiliser, des commandes qu'il sait désormais pouvoir exécuter sur le système d'exploitation hôte.

Pourquoi les attaques par injection de commandes OS sont-elles si dangereuses ?

Permettre aux utilisateurs de détourner l'usage d'une application pour exécuter des commandes système est extrêmement risqué. Un attaquant peut facilement mener des actions dévastatrices, comme le vol de données confidentielles ou le formatage complet d'un disque serveur. Les possibilités ne sont limitées que par les commandes autorisées sur le système et par l'imagination de l'attaquant.

Les commandes OS s'exécutent avec les mêmes privilèges que l'application. Si une application tourne avec des droits d'administration, un pirate qui en prend le contrôle peut exécuter n'importe quelle commande système.

Les modèles d'attaque par injection de commandes OS sont bien connus et documentés. Une application vulnérable est tout aussi exposée aux pirates débutants qu'aux professionnels. Des attaquants peu qualifiés peuvent simplement copier-coller des commandes dans les champs de saisie pour observer les résultats.

Obtenir une sécurité optimale contre les injections de commandes OS

Il existe plusieurs techniques efficaces pour contrer ces injections. La première consiste à exécuter les applications avec le minimum de privilèges requis. Cela n'empêche pas l'attaque, mais en cas de compromission, les dégâts sont limités.

La plupart des langages et frameworks proposent des API pour les opérations courantes, comme lister un répertoire ou lire des fichiers. Pour éliminer les injections de commandes OS, l'idéal est que vos applications utilisent ces API plutôt que d'appeler directement les commandes du système.

Lorsque ce n'est pas possible, validez les entrées utilisateur avant de les intégrer aux commandes. Les listes blanches permettent de n'autoriser qu'un ensemble restreint de valeurs fiables. Bien que les listes noires soient techniquement possibles, les listes blanches sont presque toujours plus simples. N'oubliez pas d'inclure les paramètres POST, GET et les vecteurs souvent négligés comme les cookies.

Enfin, si aucune API n'est disponible et qu'aucune liste blanche ne peut être utilisée, employez une bibliothèque de nettoyage pour échapper les caractères spéciaux des entrées utilisateur avant de les utiliser dans des commandes OS.

En savoir plus sur les attaques par injection de commandes OS

Pour aller plus loin, consultez la documentation de l'OWASP sur les attaques par injection de commandes OS. Vous pouvez également tester vos nouvelles compétences défensives avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité. Pour en savoir plus sur la neutralisation de cette vulnérabilité et d'autres menaces, visitez le blog de Secure Code Warrior.