BLOG – QBS Distribution (Português)

, Author

Injeção de código ou execução de código remoto (RCE) refere-se a um ataque em que um hacker pode executar código malicioso como resultado de um ataque de injecção. A injecção de código difere da injecção de comando na medida em que o hacker está limitado aos limites da língua que executa o código injectado. Embora seja possível fazer evoluir um ataque de código de injecção para uma execução arbitrária do comando, nem sempre é este o caso.

Como regra geral, a injecção de código ocorre quando uma aplicação avalia o código sem o validar.

Aqui está um exemplo em PHP vulnerável à injecção de código.

No exemplo acima, um hacker poderia fazer o seguinte pedido para executar código PHP arbitrário. Neste caso, será exibida uma página de informação PHP.

http://example.com/?code=phpinfo();

Comando de SO Exacto

Embora a injecção de código tenha o potencial de causar muitos danos, um hacker pode ter a capacidade de aumentar os danos da injecção de código executando comandos de sistema operativo (SO) arbitrários no servidor, usando o próprio PHP para executar comandos shell.

http://example.com/?code=system('whoami');

Após um hacker conseguir prosseguir com a execução do SO, podem tentar utilizar uma webshell ou instalar outro malware.

Prevenir Vulnerabilidades de Injeção de Código

O método mais eficaz de eliminar vulnerabilidades de injeção de código é evitar a todo o custo a avaliação do código, a menos que seja absolutamente necessário (ou seja, não há maneira de alcançar o mesmo resultado sem avaliação do código).

Na eventualidade de ser necessária uma avaliação do código, é essencial que todos os dados introduzidos pelo utilizador sejam fortemente validados, com o maior número possível de restrições sobre os dados introduzidos.

Os produtosAcunetix são distribuídos por SienerInformatique, um revendedor grossista de software:https://www.sienercloud.com/categorie-produit/produits/securite/acunetix-online-et-on-premise/

Deixe uma resposta

O seu endereço de email não será publicado. Campos obrigatórios marcados com *