Command Injection

Attacco che mira all'esecuzione di comandi arbitrari sul sistema operativo host tramite un'applicazione vulnerabile. In questo attacco, i comandi del sistema operativo forniti dall'attaccante vengono generalmente eseguiti con i privilegi dell'applicazione vulnerabile. Tale tipologia di attacchi sfrutta principalmente le applicazioni che passano dati non sicuri forniti dall'utente a una shell di sistema. Di conseguenza, per contrastare la command injection, è consigliabile effettuare una corretta convalida degli input.

Questo attacco è diverso dal code injection, in quanto il code injection consente all'autore dell'attacco di aggiungere il proprio codice che viene quindi eseguito dall'applicazione. Nel command injection, invece, l'attaccante estende le funzionalità predefinite dell'applicazione, che esegue i comandi di sistema, senza la necessità di iniettare codice.