Inyeccion de comandos en el sistema

En herramientas.php de Rividata el valor $_GET['host'] se concatena dentro de una llamada a shell_exec, que ejecuta lo que reciba en el interprete de comandos de la maquina. Como el dato del usuario y el comando viven en la misma cadena, el sistema no distingue uno de otro: cualquier cosa que el usuario anada a host se interpreta como mas comando. El auditor lo reconoce por el destino —el interprete del sistema— y por la concatenacion, igual que con el SQL pero con consecuencias sobre el servidor entero.

Abre el archivo y mira donde termina $host: dentro de la cadena que se le entrega a shell_exec.

La tentacion es filtrar los caracteres que encadenan comandos —el punto y coma, la barra vertical, el acento grave— y seguir concatenando. No basta: hay muchas formas de escribir lo mismo y de encadenar ordenes, y siempre se escapa una. El arreglo que cierra la clase entera es no construir una linea de comando con la entrada: usar una funcion que reciba el programa y sus argumentos por separado, de modo que el usuario nunca pueda anadir otra orden. El auditor recomienda eso, no una lista negra.

Como con el SQL, el patron del arreglo bueno es separar el dato de la instruccion, no intentar adivinar todo lo peligroso que podria escribir alguien.

Que dos fallos compartan patron no significa que compartan clasificacion ni arreglo. La consulta de catalogo.php es inyeccion SQL (CWE-89) y se cierra con una consulta parametrizada; la llamada de herramientas.php es inyeccion de comandos (CWE-78) y se cierra separando los argumentos del comando. El auditor los reporta por separado porque desarrollo los arregla en sitios distintos y con tecnicas distintas. Mezclarlos en un solo hallazgo esconde uno de los dos.

Reconocer que el patron es el mismo y la clasificacion distinta es lo que convierte la lectura de codigo en una auditoria util.

El hallazgo de la inyeccion de comandos tiene su propia nota de triaje en Rividata, con el archivo, el parametro, la clasificacion CWE-78 y el arreglo. Abrela en el laboratorio, confirma que describe la llamada a shell_exec de herramientas.php y lee el codigo del hallazgo con el que cierra.