OS command injection 操作系统命令注入

What is OS command injection? 什么是操作系统命令注入？

操作系统命令注入也称为shell注入。它允许攻击者在运行应用程序的服务器上执行操作系统(OS)命令，并且通常会完全危及应用程序及其数据。而且通常情况下，攻击者可以利用操作系统命令注入漏洞来破坏托管基础设施的其他部分，并利用信任关系将攻击转向组织内的其他系统。 

举个例子：由于某种原因，在访问http://insecure-website.com/....时，服务器需要执行'stockerport.pl 381 29‘命令。

如果应用程序没有采取操作系统命令注入防护的话，攻击者可以通过提交'& echo aiwefwlguh &’来执行任意命令。

这里的‘&’是进行命令注入的有效途径，因为'&'把注入的命令和注入点后面的东西分开了。这减少了后面的代码阻止注入命令执行的可能性。