【java代码审计】命令注入

1 成因

开发者在某种开发需求时，需要引入对系统本地命令的支持来完成某些特定的功能，此时若未对用户的输入做严格的过滤，就可能发生命令注入。

2 造成命令注入的类或方法

• Runtime类：提供调用系统命令的功能

  ①Runtime.getRuntime()：获得JVM运行时的环境

  ②Runtime.getRuntime().exec(cmd)执行用户输入的cmd命令

  存在命令注入的代码如下：

  protected void doGet (HttpServletRequest req, HttpServletRequest resp) throws ServletException, IOException{
      String cmd = req.getParameter("cmd");
      Process process = Runtime.getRuntime().exec(cmd);
      InputStream in = process.getInputStream();
  
      ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
      byte[] b = new byte[1024];//获取1M的一个缓冲区
      int i = -1;
      while((i=in.read(b)) != -1)//判断是否读完
      {
          byteArrayOutputStream.write(b,0,i);
      }
      PrintWriter Out = resp.getWriter();
      out.print(new String(byteArrayOutputStream.toByteArray()));
  }
  

• ProcessBuilder：可以创建操作系统进程

  //利用指定的操作系统程序和参数构造一个进程生成器。
  ProcessBuilder(String… command) 
  
  //设置此进程生成器的操作系统程序和参数。 
  command(List<String> command) 
  command(String… command) 
   
  //设置此进程生成器的工作目录。
  directory(File directory) 
      
  //返回此进程生成器环境的字符串映射视图。 environment方法获得运行进程的环境变量,得到一个Map,可以修改环境变量 
  environment() 
      
  //使用此进程生成器的属性启动一个新进程。
  start() 
  

• Groovy：

  ①execute()：可执行shell命令，eg：

  def command = "git log"
  def proc = command.execute()//执行git log的命令
  proc.waitFor()
  def status = proc.exitValue()
  

  ②result = sh(script: "shell command", returnStdout: true).trim()

  ③ GroovyShell()

  //直接执行Groovy代码
  GroovyShell shell = new GroovyShell();shell.evaluate("\'calc\'.execute()");
  //通过加载本地脚本
  //1.
  GroovyShell shell = new GroovyShell();
  Script script = shell.parse(new File("src/main/java/ysoserial/vulndemo/GroovyTest.groovy"));
  script.run();
  //2.
  GroovyShell shell = new GroovyShell();
  shell.evaluate(new File("src/main/java/ysoserial/vulndemo/GroovyTest.groovy"));
  //通过加载远程脚本
  GroovyShell shell = new GroovyShell();shell.evaluate(new URI("http://127.0.0.1:8888/GroovyTest.groovy"));
  

3 连接符进行命令注入

如下代码不存在命令注入漏洞

protected ByteArrayOutputStream ping(String url) throws IOException{
	Process process = Runtime.getRuntime().exec("ping " + url);
	InputStream in = process.getInputStream();
	ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
	byte[] b = new byte[1024];
	int i = -1;
	while((i = in.read(b)) != -1){
		byteArrayOutputStream.write(b,0,i);
	}
	return byteArrayOutputStream;
}

若注入www.baidu.com&ipconfig时，java环境会把他当做完整的字符串，不会被当作两条命令执行。

对于Java环境中的命令注入，连接符的使用存在一些局限。

4 正确处理可控参数

public Process exec(String command) throws IOException {
        return exec(command, null, null);
    }
public Process exec(String command, String[] envp) throws IOException {
        return exec(command, envp, null);
    }
public Process exec(String cmdarray[]) throws IOException {
        return exec(cmdarray, null, null);
    }
public Process exec(String[] cmdarray, String[] envp, File dir)
        throws IOException {
        return new ProcessBuilder(cmdarray)
            .environment(envp)
            .directory(dir)
            .start();
    }

当传入的参数类型为字符串时，会先经过StringTokenizer的处理，主要是针对空格以及换行符等空白字符进行处理，后续会分割出一个cmdarray数组保存分割后的命令参数，其中cmdarray的第一个元素为所要执行的命令。经过处理后的参数www.baidu.com&ipconfig成为ping命令的参数，因此此时的连接符&并不生效，从而无法注入系统命令。