Dynamic Code Evaluation: Code Injection

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：在此典型的程式碼注入範例中，報告會執行基本的計算，讓使用者指定要執行的指令。

...
user_ops = request->get_form_field( 'operation' ).
CONCATENATE: 'PROGRAM zsample.| FORM calculation. |' INTO code_string,
             calculator_code_begin user_ops calculator_code_end INTO code_string,
			 'ENDFORM.|' INTO code_string.
SPLIT code_string AT '|' INTO TABLE code_table.
GENERATE SUBROUTINE POOL code_table NAME calc_prog.
PERFORM calculation IN PROGRAM calc_prog.
...

當 operation 參數是理想值時，程式會正常運作。不過，如果攻擊者指定同時為有效且惡意的語言作業，則會使用父系程序的完整權限來執行那些作業。此類攻擊在插入的程式碼存取系統資源或執行系統指令時更危險。例如，如果攻擊者指定「MOVE 'shutdown -h now' to cmd.CALL 'SYSTEM' ID 'COMMAND' FIELD cmd ID 'TAB' FIELD TABL[].」做為 operation 的值，則會在主機系統上執行系統關機指令。

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：在此典型的程式碼注入範例中，應用程式會實作基本的計算機，讓使用者指定要執行的指令。

...
        var params:Object = LoaderInfo(this.root.loaderInfo).parameters;
        var userOps:String = String(params["operation"]);
        result = ExternalInterface.call("eval", userOps);
...

當 operation 參數是良性的值時，例如「8 + 7 * 2」，程式會正常運作。在此案例中，會指定 result 變數的值為 22。不過，如果攻擊者指定同時為有效且惡意的語言作業，則會使用父系程序的完整權限來執行這些作業。當主要語言提供系統資源的存取權限或允許執行系統指令時，這類攻擊會更加危險。在 ActionScript 案例中，攻擊者可能使用此弱點執行 Cross-site scripting 攻擊。

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：在此典型的程式碼注入範例中，應用程式會實作基本的計算機，讓使用者指定要執行的指令。

...
    public static object CEval(string sCSCode)
    {
        CodeDomProvider icc = CodeDomProvider.CreateProvider("CSharp"); 
        CompilerParameters cparam = new CompilerParameters();
        cparam.ReferencedAssemblies.Add("system.dll");
        cparam.CompilerOptions = "/t:library";
        cparam.GenerateInMemory = true;

        StringBuilder sb_code = new StringBuilder("");
        sb_code.Append("using System;\n");
        sb_code.Append("namespace Fortify_CodeEval{ \n");
        sb_code.Append("public class FortifyCodeEval{ \n");
        sb_code.Append("public object EvalCode(){\n");
        sb_code.Append(sCSCode + "\n");
        sb_code.Append("} \n");
        sb_code.Append("} \n");
        sb_code.Append("}\n");

        CompilerResults cr = icc.CompileAssemblyFromSource(cparam, sb_code.ToString());
        if (cr.Errors.Count > 0)
        {
            logger.WriteLine("ERROR: " + cr.Errors[0].ErrorText);
            return null;
        }

        System.Reflection.Assembly a = cr.CompiledAssembly;
        object o = a.CreateInstance("Fortify_CodeEval.FortifyCodeEval");

        Type t = o.GetType();
        MethodInfo mi = t.GetMethod("EvalCode");

        object s = mi.Invoke(o, null);
        return s;
    }
...

當 sCSCode 參數是良性值 (例如「return 8 + 7 * 2」) 時，程式會正常運作，在此案例中，函數 CEval 的傳回值為 22。不過，如果攻擊者指定同時為有效且惡意的語言作業，則會使用父系程序的完整權限來執行那些作業。當主要語言提供系統資源的存取權限或允許執行系統指令時，這類攻擊會更加危險。例如，.Net 允許叫用 Windows API，如果攻擊者指定「return System.Diagnostics.Process.Start(\"shutdown\", \"/s /t 0\");」做為 operation 的值，則會在主機系統上執行關機指令。

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：在此典型的程式碼注入範例中，應用程式會實作基本的計算機，讓使用者指定要執行的指令。

...
	userOp = form.operation.value;
	calcResult = eval(userOp);
...

當 operation 參數是良性的值時，例如「8 + 7 * 2」，程式會正常運作。在此案例中，會指定 calcResult 變數的值為 22。不過，如果攻擊者指定同時為有效且惡意的語言作業，則會使用父系程序的完整權限來執行這些作業。當主要語言提供系統資源的存取權限或允許執行系統指令時，這類攻擊會更加危險。在 JavaScript 案例中，攻擊者可能使用此弱點執行 Cross-site scripting 攻擊。

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：以下程式碼使用來自 UITextField 的輸入，以便在 WKWebView 中動態變更內容的背景色彩：

...
@property (strong, nonatomic) WKWebView *webView;
@property (strong, nonatomic) UITextField *inputTextField;
...
[_webView evaluateJavaScript:[NSString stringWithFormat:@"document.body.style.backgroundColor="%@";", _inputTextField.text] completionHandler:nil];
...

當 UITextField 輸入是理想值時 (例如「blue」)，程式會正常運作，在此情況下，webView 內的 <body> 元素會具有藍色背景樣式。然而，如果攻擊者提供的惡意輸入仍然有效，便可能可以執行任意 JavaScript 程式碼。例如，由於 JavaScript 可以存取某些類型的私密資訊，如 Cookie，因此如果攻擊者指定 "white";document.body.innerHTML=document.cookie;"" 做為 UITextField 的輸入，則 Cookie 資訊會明顯寫入頁面。當基礎語言提供系統資源的存取權或允許執行系統指令時，這類攻擊會更加危險，因為在那些情況下，會使用父系程序的完整權限來執行插入的程式碼。

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：在此典型的程式碼注入範例中，應用程式會實作基本的計算機，讓使用者指定要執行的指令。

...
	$userOps = $_GET['operation'];
	$result = eval($userOps);
...

當 operation 參數是良性的值時，例如「8 + 7 * 2」，程式會正常運作。在此案例中，會指定 result 變數的值為 22。不過，如果攻擊者指定同時為有效且惡意的作業，則會使用父系程序的完整權限來執行這些作業。當主要語言提供系統資源的存取權限或允許執行系統指令時，這類攻擊會更加危險。例如，如果攻擊者指定「exec('shutdown -h now')」做為 operation 的值，則會在主機系統上執行系統關機指令。

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：在此典型的程式碼注入範例中，應用程式會實作基本的計算機，讓使用者指定要執行的指令。

...
userOps = request.GET['operation']
result = eval(userOps)
...

當 operation 參數是良性的值時，例如「8 + 7 * 2」，程式會正常運作。在此案例中，會指定 result 變數的值為 22。不過，如果攻擊者指定同時為有效且惡意的作業，則會使用父系程序的完整權限來執行這些作業。當主要語言提供系統資源的存取權限或允許執行系統指令時，這類攻擊會更加危險。例如，如果攻擊者指定「os.system('shutdown -h now')」做為 operation 的值，則會在主機系統上執行系統關機指令。

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。
範例 1：在此程式碼插入範例中，應用程式會執行基本的計算，讓使用者指定要執行的指令。

...
  user_ops = req['operation']
  result = eval(user_ops)
...

當 operation 參數是良性的值時，例如「8 + 7 * 2」，程式會正常運作。在此案例中，會指定 result 變數的值為 22。不過，如果攻擊者指定同時為有效且惡意的語言作業，則會使用父系程序的完整權限來執行這些作業。當主要語言提供系統資源的存取權限或允許執行系統指令時，這類攻擊會更加危險。如果使用 Ruby，則允許執行此作業，由於可透過使用分號 (;) 區隔行來執行多個指令，因此還能夠在不中斷程式的情況下使用簡單插入來執行許多指令。
如果攻擊者要提交參數 operation "system(\"nc -l 4444 &\");8+7*2"，則此作業會開啟連結埠 4444 以偵聽機器上的連線，且仍然會將值 22 回傳到 result

在執行期間轉譯使用者所控制的指示，可讓攻擊者執行惡意的程式碼。

許多現代的程式語言均允許動態轉譯來源指示。此功能可讓程式設計師根據使用者的輸入執行動態指示。程式碼插入弱點會在程式設計師錯誤地假設下列情況時發生：直接由使用者所提供的指示僅會執行無害的作業，例如對使用中的使用者物件進行簡單的計算或修改使用者的狀態。但是，若沒有適當的驗證，使用者可能會指定不是程式設計師想要執行的作業。

範例 1：以下程式碼使用來自 UITextField 的輸入，以便在 WKWebView 中動態變更內容的背景色彩：

...
var webView : WKWebView
var inputTextField : UITextField
...
webView.evaluateJavaScript("document.body.style.backgroundColor="\(inputTextField.text)";" completionHandler:nil)
...

當 UITextField 輸入是理想值時 (例如「blue」)，程式會正常運作，在此情況下，webView 內的 <body> 元素會具有藍色背景樣式。然而，如果攻擊者提供的惡意輸入仍然有效，便可能可以執行任意 JavaScript 程式碼。例如，由於 JavaScript 可以存取某些類型的私密資訊，如 Cookie，因此如果攻擊者指定 "white";document.body.innerHTML=document.cookie;"" 做為 UITextField 的輸入，則 Cookie 資訊會明顯寫入頁面。當基礎語言提供系統資源的存取權或允許執行系統指令時，這類攻擊會更加危險，因為在那些情況下，會使用父系程序的完整權限來執行插入的程式碼。

從不可信賴的來源執行任意來源指示會導致執行惡意的程式碼。

許多現代的語言均允許動態轉譯來源指示。若程式設計師需要對資料執行由使用者提供的指示，但寧可運用基本的語言建構，也不要執行程式碼來解譯使用者輸入，在這種情況下可使用這個功能。使用者所提供的指示一般來說為無害的作業，例如：在使用中的使用者物件上進行計算、修改使用者物件的狀態等等。不過，如果程式設計師思考不夠周延，使用者可能會執行程式設計師料想之外的作業。

範例 1：可由使用者指定的基本程式建構的常見應用程式範例即為計算機。下列 ASP 程式碼可接受使用者所要計算與回傳的基本數學運算：

...
	strUserOp = Request.Form('operation')
	strResult = Eval(strUserOp)
...

程式會執行計畫執行的計算，如參數為「8 + 7 * 2」的 operation 的範例。strResult 變數所回傳的值為 22。但是，如果使用者指定其他有效的語言作業，不僅會執行那些作業，還會使用父系程序的完整權限來執行。當基本語言提供系統資源的存取權限或允許執行系統指令時，執行任意的程式碼會變得更加危險。例如：如果攻擊者將 operation 指定為「Shell('C:\WINDOWS\SYSTEM32\TSSHUTDN.EXE 0 /DELAY:0 /POWERDOWN')」，則可能會在主機系統上執行關閉指令。