Dynamic Code Evaluation: Script Injection

在运行时解析用户控制的指令，会让攻击者有机会执行恶意代码。

许多现代编程语言都允许动态解析源代码指令。这使得程序员可以执行基于用户输入的动态指令。当程序员错误地认为由用户直接提供的指令仅会执行一些无害的操作时（如对当前的用户对象进行简单的计算或修改用户的状态），就会出现 code injection 漏洞：然而，若不经过适当的验证，用户指定的操作可能并不是程序员最初所期望的。

例 1：在这段代码注入示例中，请求参数被绑定到要评估的 Razor 模板。

...
	string name = Request["username"];
	string template = "Hello @Model.Name! Welcome " + name + "!";
	string result = Razor.Parse(template, new { Name = "World" });
...

如果 operation 参数的值为良性值，程序就可以正常运行。例如，当该值为 "John" 时，result 变量被赋予的值将为 "Hello World!Welcome John!"。然而，如果攻击者指定的语言操作既有可能是有效的，又有可能是恶意的，那么，只有在对主进程具有完全权限的情况下才能执行这些操作。如果底层语言提供了访问系统资源的途径或允许执行系统命令，这种攻击甚至会更加危险。例如，Razor 允许调用 C# 对象；如果攻击者计划将 " @{ System.Diagnostics.Process proc = new System.Diagnostics.Process(); proc.EnableRaisingEvents=false; proc.StartInfo.FileName=\"calc\"; proc.Start(); }" 指定为 name 的值，主机系统就会执行系统命令。

在运行时解析用户控制的指令，会让攻击者有机会执行恶意代码。

许多现代编程语言都允许动态解析源代码指令。这使得程序员可以执行基于用户输入的动态指令。当程序员错误地认为由用户直接提供的指令仅会执行一些无害的操作时（如对当前的用户对象进行简单的计算或修改用户的状态），就会出现 code injection 漏洞：然而，若不经过适当的验证，用户指定的操作可能并不是程序员最初所期望的。

示例 1：在这一典型的代码注入示例中，应用程序实施的基本计算器允许用户指定要执行的命令。

...
    userOp = form.operation.value;
    calcResult = eval(userOp);
...

如果 operation 参数的值为良性值，程序就可以正常运行。例如，当该值为“8 + 7 * 2”时，calcResult 变量被赋予的值将为 22。然而，如果攻击者指定的语言操作既有可能是有效的，又有可能是恶意的，那么，只有在对主进程具有完全权限的情况下才能执行这些操作。如果底层语言提供了访问系统资源的途径或允许执行系统命令，这种攻击甚至会更加危险。对于 JavaScript，攻击者还可以利用这种漏洞进行 cross-site scripting 攻击。

从不受信任的数据源执行任意源代码指令会导致系统执行恶意代码。

许多现代语言都允许动态解析源代码指令。如果程序员需要由用户提供的指令对数据操作，这种情况下可以应用这种功能。当然，我们更愿意利用底层语言构造，而不是通过执行代码来解析用户输入。由用户提供的指令预期执行一些无害的操作，例如，对当前的用户对象进行简单计算或修改用户对象的状态，等等。然而，如果程序员不够细心，用户指定的操作范围可能会超出程序员最初的设想。

示例 1：允许用户指定底层编程构造的典型示例应用程序是计算器。以下 ASP 代码可接受由用户指定的要进行计算并返回结果的基本数学操作：

...
        strUserOp = Request.Form('operation')
        strResult = Eval(strUserOp)
...

在 operation 参数为“8 + 7 * 2”的示例中，程序的预期行为是可行的。strResult 变量应返回的值为 22。然而，如果用户打算指定其他有效的语言操作，那么系统不仅会执行这些操作，还会在对主进程具有完全权限的情况下执行。如果底层语言提供了访问系统资源的途径，或者允许执行系统命令，那么执行任意代码会更加危险。例如，如果攻击者打算将 operation 指定为“Shell('C:\WINDOWS\SYSTEM32\TSSHUTDN.EXE 0 /DELAY:0 /POWERDOWN')”，主机系统会执行关机命令。