[基础]漏洞]命令执行和代码执行

原理：      

         WEB应用程序过滤不严谨，导致用户可以通过请求将代码注入到WEB应用进行执行。

        代码最终是在WEB服务器中进行执行的。

危害：

       这两种漏洞都可能导致严重的后果，包括但不限于：获取服务器敏感信息、控制整个系统、篡改网站内容、植入后门、发起内网攻击等，严重威胁系统及数据的安全。

防御：

•  对用户输入进行严格的校验和过滤，对于不需要执行命令的功能，应禁用相关函数调用；
•  不信任任何外部输入，对所有用户可控的数据进行转义处理；
•  避免直接使用动态变量拼接命令，尽量使用参数化查询或预编译语句；
•   对于代码执行漏洞，应当避免直接执行用户上传的代码文件，同时对所有接收和处理的数据进 行严格的安全检查和编码转换；
•   对于一些已知的代码执行漏洞类型（如Java反序列化），应及时更新补丁，并加强代码审计，减少不必要的风险

总结：

            WEB应用程序过滤不严谨，导致用户可以通过请求将代码注入到WEB应用进行执行，代码最终是在WEB服务器中进行执行的。危害这两种漏洞都可能导致严重的后果，包括但不限于：获取服务器敏感信息、控制整个系统、篡改网站内容、植入后门、发起内网攻击等，严重威胁系统及数据的安全。防御对用户输入进行严格的校验和过滤，对于不需要执行命令的功能，应禁用相关函数调用；