在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1： 以下程式碼使用依賴整數的指令，因此不容易受到 SQL injection 弱點的攻擊，可用來建立並執行 SQL 查詢以搜尋符合特定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

DATA: id TYPE i.
...
id = request->get_form_field( 'invoiceID' ).

CONCATENATE `INVOICEID = '` id `'` INTO cl_where.
SELECT *
    FROM invoices
    INTO CORRESPONDING FIELDS OF TABLE itab_invoices
    WHERE (cl_where).
ENDSELECT.
...

問題是開發人員沒有考慮到所有可能的 ID 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

        ...
        var params:Object = LoaderInfo(this.root.loaderInfo).parameters;
        var id:int = int(Number(params["invoiceID"]));
        var query:String = "SELECT * FROM invoices WHERE id = :id";

        stmt.sqlConnection = conn;
        stmt.text = query;
        stmt.parameters[":id"] = id;
        stmt.execute();
        ...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SOQL/SOSL 查詢中主要金鑰的值。
範例 1：在以下程式碼範例中，inputID 值來自於預先定義的清單，而繫結變數可協助防止 SOQL/SOSL injection。

...
result = [SELECT Name, Phone FROM Contact WHERE (IsDeleted = false AND Id=:inputID)];
...

上述範例存在的問題是，使用預先定義的 ID 清單不足以阻止使用者修改 inputID 的值。如果攻擊者能夠略過介面並使用其他值傳送要求，便可存取其他聯絡人資訊。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求聯絡人的權限，所以即使該使用者未獲得查看的授權，程式碼也會顯示任何聯絡人。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。

2. 此資料用來指定位於 LINQ 查詢中主要關鍵字的值。
範例 1：以下程式碼執行 LINQ 查詢以搜尋符合指定識別碼 [1] 的清單。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...

int16 id = System.Convert.ToInt16(invoiceID.Text);
var invoice = OrderSystem.getInvoices()
	.Where(new Invoice { invoiceID = id });
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...
CMyRecordset rs(&dbms);
rs.PrepareSQL("SELECT * FROM invoices WHERE id = ?");
rs.SetParam_int(0,atoi(r.Lookup("invoiceID").c_str()));
rs.SafeExecuteSQL();
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫 Access Control 錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化指令，避開中繼字元的使用且避免 SQL injection 的弱點，用來建立並執行 SQL 查詢以搜尋符合特定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...
ACCEPT ID.
EXEC SQL
    DECLARE C1 CURSOR FOR
    SELECT INVNO, INVDATE, INVTOTAL
    FROM INVOICES
    WHERE INVOICEID = :ID
END-EXEC.
...

問題是開發人員沒有考慮到所有可能的 ID 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫 Access Control 錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定資料庫名稱的值。

在以下情況會發生資料庫 Access Control 錯誤：

1.資料從一個不可信賴的來源進入程式。


2.此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式，避開中繼字元並防止 SQL injection 弱點，用來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...
id := request.FormValue("invoiceID")
query := "SELECT * FROM invoices WHERE id = ?";
rows, err := db.Query(query, id)
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...
id = Integer.decode(request.getParameter("invoiceID"));
String query = "SELECT * FROM invoices WHERE id = ?";
PreparedStatement stmt = conn.prepareStatement(query);
stmt.setInt(1, id);
ResultSet results = stmt.execute();
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

有人認為在行動環境中，典型的 Web 應用程式弱點 (例如資料庫 Access Control 錯誤) 不會產生影響，因為使用者為何會攻擊自己呢？但是請謹記，行動平台的本質是從多種來源下載，並在相同裝置上一起執行的應用程式。在金融應用程式旁執行惡意程式碼的可能性很高，這必然會擴大行動應用程式的受攻擊面，將程序之間的通訊包括在內。

範例 2：以下程式碼改寫 Example 1 以適用於 Android 平台。

...
        String id = this.getIntent().getExtras().getString("invoiceID");
        String query = "SELECT * FROM invoices WHERE id = ?";
        SQLiteDatabase db = this.openOrCreateDatabase("DB", MODE_PRIVATE, null);
        Cursor c = db.rawQuery(query, new Object[]{id});
...

有許多現代的 Web 架構提供執行使用者輸入驗證的機制 (包括 Struts 和 Struts 2)。為了突顯未驗證的輸入來源，Fortify 安全編碼檢查規則會降低 Fortify Static Code Analyzer 所報告之問題的攻擊可能性，並在使用框架驗證機制時提供支援證據的指標，以動態重新排列其優先順序。我們將此功能稱為「內容相關性排名」。為了進一步協助 Fortify 使用者進行稽核程序，Fortify Software 安全研發團隊提供了資料驗證專案範本，該範本會依據套用到其輸入來源的驗證機制，按資料夾對問題進行分組。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

	...
	var id = document.form.invoiceID.value;
	var query = "SELECT * FROM invoices WHERE id = ?";
	db.transaction(function (tx) {
		tx.executeSql(query,[id]);
		}
	)
	...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不受信任的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...

        NSManagedObjectContext *context = [appDelegate managedObjectContext];
        NSEntityDescription *entityDesc = [NSEntityDescription entityForName:@"Invoices" inManagedObjectContext:context];
        NSFetchRequest *request = [[NSFetchRequest alloc] init];
        [request setEntity:entityDesc];
        NSPredicate *pred = [NSPredicate predicateWithFormat:@"(id = %@)", invoiceId.text];
        [request setPredicate:pred];

        NSManagedObject *matches = nil;
        NSError *error;
        NSArray *objects = [context executeFetchRequest:request error:&error];

        if ([objects count] == 0) {
                 status.text = @"No records found.";
        } else {
                matches = [objects objectAtIndex:0];
                invoiceReferenceNumber.text = [matches valueForKey:@"invRefNum"];
                orderNumber.text = [matches valueForKey:@"orderNumber"];
                status.text = [NSString stringWithFormat:@"%d records found", [objects count]];
        }
        [request release];
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

        ...
	$id = $_POST['id'];
	$query = "SELECT * FROM invoices WHERE id = ?";
	$stmt = $mysqli->prepare($query);
	$stmt->bind_param('ss',$id);
	$stmt->execute();
        ...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

有許多現代的 Web 架構提供執行使用者輸入驗證的機制 (包括 Struts 和 Struts 2)。為了突顯未驗證的輸入來源，Fortify 安全編碼檢查規則會降低 Fortify Static Code Analyzer 所報告之問題的攻擊可能性，並在使用框架驗證機制時提供支援證據的指標，以動態重新排列其優先順序。我們將此功能稱為「內容相關性排名」。為了進一步協助 Fortify 使用者進行稽核程序，Fortify Software 安全研發團隊提供了資料驗證專案範本，該範本會依據套用到其輸入來源的驗證機制，按資料夾對問題進行分組。

在以下情況會發生資料庫 Access Control 錯誤：

1. 資料從一個不可信賴的來源進入程式。

2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

procedure get_item (
itm_cv IN OUT ItmCurTyp,
id in varchar2)
is
open itm_cv for ' SELECT * FROM items WHERE ' ||
'invoiceID = :invid' ||
     	using id;
end get_item;

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...
id = request.POST['id']
c = db.cursor()
stmt = c.execute("SELECT * FROM invoices WHERE id = %s", (id,))
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...
id = req['invoiceID'].respond_to(:to_int)
query = "SELECT * FROM invoices WHERE id=?"
stmt = conn.prepare(query)
stmt.execute(id)
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不受信任的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

...
let fetchRequest = NSFetchRequest()
let entity = NSEntityDescription.entityForName("Invoices", inManagedObjectContext: managedContext)
fetchRequest.entity = entity
let pred : NSPredicate = NSPredicate(format:"(id = %@)", invoiceId.text)
fetchRequest.setPredicate = pred
do {
    let results = try managedContext.executeFetchRequest(fetchRequest)
    let result : NSManagedObject = results.first!
    invoiceReferenceNumber.text = result.valueForKey("invRefNum")
    orderNumber.text = result.valueForKey("orderNumber")
    status.text = "\(results.count) records found"
} catch let error as NSError {
    print("Error \(error)")
}
...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

在以下情況會發生資料庫存取控制錯誤：

1. 資料從一個不可信賴的來源進入程式。


2. 此資料用來指定位於 SQL 查詢中主要金鑰的值。
範例 1：以下程式碼使用參數化陳述式 (不但可避開中繼字元的使用，而且可以防止 SQL injection 弱點)，來建構並執行 SQL 查詢以搜尋符合指定識別碼的清單 [1]。此識別碼是從與目前驗證的使用者有關聯的所有清單中所選取。

	...
	id = Request.Form("invoiceID")
	strSQL = "SELECT * FROM invoices WHERE id = ?"
	objADOCommand.CommandText = strSQL
	objADOCommand.CommandType = adCmdText
	set objADOParameter = objADOCommand.CreateParameter("id" , adString, adParamInput, 0, 0)
	objADOCommand.Parameters("id") = id
	...

問題是開發人員沒有考慮到所有可能的 id 值。雖然介面會產生屬於目前使用者的清單識別碼清單，但攻擊者可能略過此介面以要求任何想要的清單。因為此範例中的程式碼沒有檢查以確保使用者擁有存取所要求清單的權限，所以即使清單不屬於目前使用者，程式碼也會顯示所有清單。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用登錄金鑰 APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。

...
CALL FUNCTION 'REGISTRY_GET'
  EXPORTING
     KEY   = 'APPHOME'
  IMPORTING
     VALUE = home.

CONCATENATE home INITCMD INTO cmd.
CALL 'SYSTEM' ID 'COMMAND' FIELD cmd ID 'TAB' FIELD TABL[].
...

Example 1 中的程式碼允許攻擊者藉由修改登錄金鑰 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從登錄中讀取的值，所以如果攻擊者可以控制登錄金鑰 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個用於管理性的 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

...
btype = request->get_form_field( 'backuptype' )
CONCATENATE `/K 'c:\\util\\rmanDB.bat ` btype `&&c:\\util\\cleanup.bat'` INTO cmd.

CALL FUNCTION 'SXPG_COMMAND_EXECUTE_LONG'
  EXPORTING
    commandname                   = cmd_exe
    long_params                   = cmd_string
  EXCEPTIONS
    no_permission                 = 1
    command_not_found             = 2
    parameters_too_long           = 3
    security_risk                 = 4
    OTHERS                        = 5.
...

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證。通常 SXPG_COMMAND_EXECUTE_LONG 函數模組不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 CALL 'SYSTEM' 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

...
MOVE 'make' to cmd.
CALL 'SYSTEM' ID 'COMMAND' FIELD cmd ID 'TAB' FIELD TABL[].
...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 CALL 'SYSTEM' 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下程式碼使用來自組態設定檔案的輸入來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。

        ...
        var fs:FileStream = new FileStream();
        fs.open(new File(String(configStream.readObject())+".txt"), FileMode.READ);
        home = String(fs.readObject(home));
        var cmd:String = home + INITCMD;
        fscommand("exec", cmd);
        ...

Example 1 中的程式碼允許攻擊者藉由修改組態設定檔案 configStream 的內容來指向包含惡意版本的 INITCMD 的其他路徑，藉此運用提升的應用程式權限來執行任意指令。因為程式不會驗證從檔案中讀取的值，所以如果攻擊者可以控制該值，他們就可以欺騙應用程式去執行惡意程式碼並控制系統。

範例 2：以下程式碼來自一個管理 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

        ...
        var params:Object = LoaderInfo(this.root.loaderInfo).parameters;
        var btype:String = String(params["backuptype"]);
        var cmd:String = "cmd.exe /K \"c:\\util\\rmanDB.bat " + btype + "&&c:\\util\\cleanup.bat\"";
        fscommand("exec", cmd);
        ...

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證。通常 fscommand() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 fscommnd() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

        ...
        fscommand("exec", "make");
        ...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 fscommand() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用系統屬性 APPHOME 來決定其安裝目錄，並且根據指定目錄的相對路徑來執行初始化 Script。

...
string val = Environment.GetEnvironmentVariable("APPHOME");
string cmd = val + INITCMD;
ProcessStartInfo startInfo = new ProcessStartInfo(cmd);
Process.Start(startInfo);
...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個管理 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

...
string btype = BackupTypeField.Text;
string cmd = "cmd.exe /K \"c:\\util\\rmanDB.bat"
              + btype + "&&c:\\util\\cleanup.bat\""));
Process.Start(cmd);
...

這裡的問題在於：程式不會對 BackupTypeField進行任何驗證。通常 Process.Start() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Process.Start() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，允許使用者存取他們用於在系統上更新密碼的介面。在此網路環境中，更新密碼的部分程序是執行 update.exe 指令，如下所示：

...
Process.Start("update.exe");
...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 Process.start() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 update.exe 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 update.exe 將會在這些權限下執行，攻擊者可能會完全控制系統。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此案例中，我們著重於第一種情況，即攻擊者準確地控制了所執行的指令。此類型的 Command injection 弱點會在以下情況中出現：

1.資料從不可信賴的來源進入應用程式。


2.資料被應用程式當作指令所執行的字串的一部分。


3.藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：下面這個簡單的程式將一個檔案名稱作為一條指令行引數，並將檔案內容顯示給使用者。程式是按照 setuid root 安裝的，因為這個程式的意圖是作為一個學習工具來使用，以便讓那些仍在培訓中的系統管理員查看各權限的系統檔，而不給他們篡改權限，或者損壞系統的能力。

int main(char* argc, char** argv) {
	char cmd[CMD_MAX] = "/usr/bin/cat ";
	strcat(cmd, argv[1]);
	system(cmd);
}

因為程式是以 root 的權限來執行，所以 system() 的呼叫也以 root 的權限來執行。如果使用者指定了一個標準的檔案名稱，那麼呼叫就能如預期般執行。但是，如果攻擊者傳遞 ";rm -rf /" 形式的字串，則對 system() 的呼叫會由於缺少引數而無法執行 cat，然後以遞迴方式刪除根分割的內容。

範例 2：以下來自具有特殊權限的程式之程式碼，使用環境變數 $APPHOME 來決定應用程式的安裝目錄，並在該目錄中執行初始化指令碼。

	...
	char* home=getenv("APPHOME");
	char* cmd=(char*)malloc(strlen(home)+strlen(INITCMD));
	if (cmd) {
		strcpy(cmd,home);
		strcat(cmd,INITCMD);
		execl(cmd, NULL);
	}
	...

如 Example 1 所述，這個範例中的程式碼提升了應用程式的權限，允許攻擊者隨意執行任何指令。在此範例中，攻擊者可能修改環境變數 $APPHOME 來指定包含 INITCMD 惡意版本的不同路徑。由於程式不會驗證從環境讀取的值，透過控制該環境變數，攻擊者可能欺騙應用程式執行惡意程式碼。

因為攻擊者使用環境變數來控制程式呼叫的指令，所以在這個範例中環境的影響是直接明瞭的。現在，我們會留意當攻擊者可能變更指令解譯方式時會發生的情況。

範例 3：以下程式碼以 CGI 公用程式為基礎，可讓使用者變更其密碼。在網路資訊服務 (NIS) 下的密碼更新過程，包括在 /var/yp 目錄中執行 make。注意，程式更新密碼記錄後，就已按照 setuid root 進行安裝了。

程式會以下列方式呼叫 make：

system("cd /var/yp && make &> /dev/null");

不同於先前的範例，因為這個範例中的指令是使用強制編碼方式，所以攻擊者不能控制傳輸到 system() 的引數。但是，由於程式沒有指定 make 的絕對路徑，而且沒有在叫用指令之前清除任何環境變數，因此攻擊者可能修改他們的 $PATH 變數，以指向名為 make 的惡意二進位碼，並從 shell 提示執行 CGI 指令碼。而且因為程式是按照 setuid root 安裝的，所以攻擊者的 make 版本現在會以 root 權限執行。

在 Windows 中，存在其他風險。

範例 4：直接或透過呼叫 _spawn() 系列中的一個函數來叫用 CreateProcess() 時，如果執行檔或路徑中包含空格，請務必小心。

...
LPTSTR cmdLine = _tcsdup(TEXT("C:\\Program Files\\MyApplication -L -S"));
CreateProcess(NULL, cmdLine, ...);
...

由於 CreateProcess() 剖析空格的方式，作業系統嘗試執行的第一個執行檔會是 Program.exe，而不是 MyApplication.exe。所以，如果攻擊者能夠在系統上安裝名為 Program.exe 的惡意應用程式，任何會使用 Program Files 目錄不正確呼叫 CreateProcess() 的程式將會執行此應用程式，而不會執行原本所要執行的應用程式。

環境在程式的系統指令執行過程中扮演很重要的角色。如 system()、exec() 和 CreateProcess() 這類的函數，可利用程式呼叫這些函數的環境，因此攻擊者會有機會去影響這些呼叫的運作情況。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令。

- 攻擊者可以控制程式的參數。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此案例中，我們著重於第二種情況，即攻擊者能夠透過變更環境變數或預先在搜尋路徑中插入惡意可執行檔，而變更指令意義。此類型的 Command injection 弱點會在以下情況中出現：

1.攻擊者修改了應用程式的環境。

2.應用程式在不指定絕對路徑或驗證正在執行的二進位檔案的情況下執行指令。



3.藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：此範例示範了攻擊者可以變更指令的解譯方式時可能發生的情況。程式碼以 CGI 公用程式為基礎，可讓使用者變更其密碼。在網路資訊服務 (NIS) 下的密碼更新過程，包括在 /var/yp 目錄中執行 make。注意，程式更新密碼記錄後，就已按照 setuid root 進行安裝了。

程式會如下叫用 make：

MOVE "cd /var/yp && make &> /dev/null" to command-line
CALL "CBL_EXEC_RUN_UNIT" USING command-line
                               length of command-line
                               run-unit-id
                               stack-size
                               flags

此範例中的指令經過硬式編碼，因此攻擊者無法控制傳遞至 CBL_EXEC_RUN_UNIT 的引數。但是，由於程式沒有為 make 指定絕對路徑，並且在叫用該指令之前未清除其環境變數，因此攻擊者可將 $PATH 變數修改為指向名為 make 的惡意二進位檔案，並透過 Shell 提示執行 CGI 指令碼。另外，由於程式已按照 setuid root 進行安裝，因此攻擊者的 make 版本現在能利用 root 權限來執行。

範例 2：以下程式碼使用環境變數來判斷包含暫存目錄是否包含要使用 pdfprint 指令列印的檔案。

DISPLAY "TEMP" UPON ENVIRONMENT-NAME
ACCEPT ws-temp-dir FROM ENVIRONMENT-VARIABLE
STRING "pdfprint " DELIMITED SIZE
             ws-temp-dir DELIMITED SPACE
             "/" DELIMITED SIZE
             ws-pdf-filename DELIMITED SPACE
             x"00" DELIMITED SIZE
             INTO cmd-buffer
CALL "SYSTEM" USING cmd-buffer

與前面的範例類似，該指令經過硬式編碼。但是，由於程式沒有為 pdfprint 指定絕對路徑，因此攻擊者可將 $PATH 變數修改為指向惡意二進位檔案。此外，儘管 DELIMITED SPACE 片語會防止 ws-temp-dir 和 ws-pdf-filename 中嵌入空格，但其中的任何一個都可以嵌入 shell 中繼字元 (例如 &&)。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1： 下列程式碼允許攻擊者透過 cmd 要求參數指定任意指令。

    ...
<cfset var="#url.cmd#">
<cfexecute name = "C:\windows\System32\cmd.exe"
    arguments = "/c #var#"
    timeout = "1"
    variable="mycmd">
</cfexecute>
    ...

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此案例中，我們著重在第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1.資料從不可信賴的來源進入應用程式。

2.資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3.藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用系統屬性 APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。

	...
	final cmd = String.fromEnvironment('APPHOME');
    await Process.run(cmd);
	...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此案例中，我們著重在第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1.資料從不可信賴的來源進入應用程式。


2.資料當作表示應用程式執行之指令的字串或字串的一部分使用。

3.藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例：以下程式碼會執行使用者控制的指令。

  cmdName := request.FormValue("Command")
  c := exec.Command(cmdName)
  c.Run()

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用系統屬性 APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。

	...
	String home = System.getProperty("APPHOME");
	String cmd = home + INITCMD;
	java.lang.Runtime.getRuntime().exec(cmd);
	...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個管理 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

...
String btype = request.getParameter("backuptype");
String cmd = new String("cmd.exe /K
\"c:\\util\\rmanDB.bat "+btype+"&&c:\\util\\cleanup.bat\"")
System.Runtime.getRuntime().exec(cmd);
...

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證。通常 Runtime.exec() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Runtime.exec() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

...
System.Runtime.getRuntime().exec("make");
...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 Runtime.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

有人認為在行動環境中，典型的弱點 (例如指令插入) 沒有意義，因為使用者為何要攻擊自己呢？但是請謹記，行動平台的本質是從多種來源下載，並在相同裝置上一起執行的應用程式。在金融應用程式旁執行惡意程式碼的可能性很高，這必然會擴大行動應用程式的受攻擊面，將程序之間的通訊包括在內。

範例 4：以下程式碼從 Android 用意中讀取將執行的指令。

...
        String[] cmds = this.getIntent().getStringArrayExtra("commands");
	Process p = Runtime.getRuntime().exec("su");
        DataOutputStream os = new DataOutputStream(p.getOutputStream());
        for (String cmd : cmds) {
        	os.writeBytes(cmd+"\n");
        }
        os.writeBytes("exit\n");
        os.flush();
...

在已取得 Root 權限的裝置上，惡意應用程式會強迫受害者應用程式以超級使用者的權限執行任意指令。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。


2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用環境變數 APPHOME 來決定其安裝目錄，並且根據指定目錄的相對路徑來執行初始化 Script。

var cp = require('child_process');
  ...
  var home = process.env('APPHOME');
  var cmd = home + INITCMD;
  child = cp.exec(cmd, function(error, stdout, stderr){
    ...
  });
  ...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個管理 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

var cp = require('child_process');
var http = require('http');
var url = require('url');

function listener(request, response){
  var btype = url.parse(request.url, true)['query']['backuptype'];
  if (btype !== undefined){
    cmd = "c:\\util\\rmanDB.bat" + btype;
    cp.exec(cmd, function(error, stdout, stderr){
      ...
    });
  }
  ...
}
...
http.createServer(listener).listen(8080);

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證，只有驗證此參數是否存在。一旦叫用此 Shell，就可能允許執行多個指令，並且因為應用程式本質的關係，應用程式將會使用與資料庫互動的必要權限來執行，這表示攻擊者插入的所有指令也會使用這些權限來執行。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

...
require('child_process').exec("make", function(error, stdout, stderr){
  ...
});
...

這裡的問題是，程式沒有指定 make 的絕對路徑，因此沒能在執行 child_process.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用系統屬性 APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。

	...
	$home = $_ENV['APPHOME'];
	$cmd = $home . $INITCMD;
	system(cmd);
	...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個管理 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

...
$btype = $_GET['backuptype'];
$cmd = "cmd.exe /K \"c:\\util\\rmanDB.bat " . $btype . "&&c:\\util\\cleanup.bat\"";
system(cmd);
...

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證。通常 Runtime.exec() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Runtime.exec() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

...
$result = shell_exec("make");
...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 Runtime.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例：以下程式碼定義了 T-SQL 儲存的程序，當使用不可信賴的資料呼叫時，該程序會執行由攻擊者控制的系統指令。

...
CREATE PROCEDURE dbo.listFiles (@path NVARCHAR(200))
AS

DECLARE @cmd NVARCHAR(500)
SET @cmd = 'dir ' + @path

exec xp_cmdshell @cmd

GO
...

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用系統屬性 APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。

	...
	home = os.getenv('APPHOME')
	cmd = home.join(INITCMD)
	os.system(cmd);
	...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個管理 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

...
	btype = req.field('backuptype')
	cmd = "cmd.exe /K \"c:\\util\\rmanDB.bat " + btype + "&&c:\\util\\cleanup.bat\""
	os.system(cmd);
...

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證。通常 Runtime.exec() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Runtime.exec() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

...
result = os.system("make");
...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 os.system() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。


2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用系統屬性 APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。

...
home = ENV['APPHOME']
cmd = home + INITCMD
Process.spawn(cmd)
...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個用於管理性的 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

...
btype = req['backuptype']
cmd = "C:\\util\\rmanDB.bat #{btype} &&C:\\util\\cleanup.bat"
spawn(cmd)
...

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證。一旦透過 Kernel.spawn 叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

...
system("make")
...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 Kernel.system() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

Command injection 弱點有以下兩種形式：

- 攻擊者可以篡改程式執行的指令：攻擊者直接控制指令內容。

- 攻擊者可以篡改指令執行的所在環境：攻擊者間接控制指令代表的意義。

在此例中，我們著重於第一種情況，即攻擊者可控制執行指令的可能性。此類型的 Command injection 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料被用作代表應用程式所執行指令的字串，或字串的一部分。

3. 藉由執行指令，應用程式給予攻擊者原本不該擁有的權限或能力。

範例 1：以下來自於系統公用程式的程式碼使用系統屬性 APPHOME 來決定其安裝目錄，並且根據指定目錄的相對路徑來執行初始化 Script。

	...
	Dim cmd
	Dim home

	home = Environ$("AppHome")
	cmd = home & initCmd
	Shell cmd, vbNormalFocus
	...

Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。

範例 2：以下程式碼來自一個管理 Web 應用程式，可允許使用者使用 rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。

...
btype = Request.Form("backuptype")
cmd = "cmd.exe /K " & Chr(34) & "c:\util\rmanDB.bat " & btype & "&&c:\util\cleanup.bat" & Chr(34) & ";
Shell cmd, vbNormalFocus
...

這裡的問題是，程式沒有對來自使用者的 backuptype參數進行任何驗證。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。

範例 3：以下程式碼來自一個 Web 應用程式，提供了可讓使用者在系統上更新密碼的介面。在特定網路環境中，更新密碼的部分程序是在 /var/yp 目錄下執行 make 指令。

...
$result = shell_exec("make");
...

這裡的問題是，程式沒有指定一個絕對的路徑，並且沒能在執行 Runtime.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。

現代的網路瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie 易使 Cookie 受到網路攔截攻擊，因此安全旗標有助於保持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。

範例 1：在以下範例中，Cookie 已建立，但未將 isSecure 參數設為 true。

...
Cookie cookie = new Cookie('emailCookie', emailCookie, path, maxAge, false, 'Strict');
...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 isSecure 參數，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量對攻擊者而言是稀鬆平常之事，而且透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會危及應用程式的安全。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。

範例：在以下範例中，Cookie 已新增至回應，而未設定 Secure 屬性。

...
 HttpCookie cookie = new HttpCookie("emailCookie", email);
    Response.AppendCookie(cookie);
...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。

現代的網頁瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。如果 Cookie 包含隱私資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。
範例 1：以下程式碼將 Cookie 新增到回應中，而未設定 Secure 旗標。

cookie := http.Cookie{
  Name:     "emailCookie",
  Value:    email,
}
http.SetCookie(response, &cookie)
...

若應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。

現代的網頁瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。

範例 1：在以下範例中，use-secure-cookie 屬性允許透過未加密的傳輸傳送 remember-me Cookie。

	<http auto-config="true">
        ...
        <remember-me use-secure-cookie="false"/>
	</http>

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：在以下範例中，Cookie 已新增至回應，而未將 Secure 屬性設定為 true。

  res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin', httpOnly: true, secure: false});

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：在以下範例中，Cookie 已新增至回應，而未設定 Secure 旗標。

  ...
  NSDictionary *cookieProperties = [NSDictionary dictionary];
  ...
  NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
  ...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：以下程式碼將 Cookie 新增到回應中，而未設定 Secure 旗標。

...
setcookie("emailCookie", $email, 0, "/", "www.example.com");
...

若應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。

現代的網路瀏覽器支援每個 cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。如果 Cookie 包含私人資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。
範例 1：以下程式碼將 Cookie 新增到回應中，而未設定 Secure 旗標。

from django.http.response import HttpResponse
...
def view_method(request):
  res = HttpResponse()
  res.set_cookie("emailCookie", email)
  return res
...

若應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。

現代的網頁瀏覽器支援每個 Cookie 都有 Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。
範例 1：在以下範例中，Cookie 已新增至回應，而未設定 Secure 旗標。

...
let properties = [
    NSHTTPCookieDomain: "www.example.com",
    NSHTTPCookiePath: "/service",
    NSHTTPCookieName: "foo",
    NSHTTPCookieValue: "bar"
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...

若您的應用程式同時使用 HTTPS 和 HTTP，但是未設定 Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。

所有主流瀏覽器均支援防止用戶端 Script 存取 Cookie 的 HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。
範例 1：以下程式碼會建立 Cookie，而不設定 HttpOnly 屬性。

    HttpCookie cookie = new HttpCookie("emailCookie", email);
    Response.AppendCookie(cookie);

瀏覽器支援防止用戶端指令碼存取 Cookie 的 HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。
範例 1：以下程式碼會建立 Cookie，而不設定 HttpOnly 屬性。

cookie := http.Cookie{
  Name:     "emailCookie",
  Value:    email,
}
...

所有主流瀏覽器均支援防止用戶端 Script 存取 Cookie 的 HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。
範例 1：以下程式碼會建立 Cookie，而不設定 HttpOnly 屬性。

javax.servlet.http.Cookie cookie = new javax.servlet.http.Cookie("emailCookie", email);
// Missing a call to: cookie.setHttpOnly(true);

所有主流瀏覽器均支援防止用戶端 Script 存取 Cookie 的 HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。
範例 1：以下程式碼會建立 Cookie，而不設定 httpOnly 屬性。

  res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin'});

所有主流瀏覽器均支援防止用戶端 Script 存取 Cookie 的 HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。
範例 1：以下程式碼會建立 Cookie，而不設定 HttpOnly 屬性。

setcookie("emailCookie", $email, 0, "/", "www.example.com", TRUE);  //Missing 7th parameter to set HttpOnly

瀏覽器支援防止用戶端 Script 存取 Cookie 的 HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。
範例 1：以下程式碼會建立 Cookie，而不設定 HttpOnly 屬性。

from django.http.response import HttpResponse
...
def view_method(request):
  res = HttpResponse()
  res.set_cookie("emailCookie", email)
  return res
...

開發人員通常會將 Cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例：
想像您已在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定階段作業 ID Cookie。

例如：

  HttpCookie cookie = new HttpCookie("sessionID", sessionID);
  cookie.Domain = ".example.com";

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 弱點。 任何已向 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 Cookie 的風險。

除了讀取 Cookie 之外，攻擊者還有可能使用 insecure.example.com 來自行建立路徑範圍過大的 Cookie，藉此執行可從 secure.example.com 覆寫 Cookie 的 Cookie Poisoning 攻擊。

開發人員通常會將 cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：想像您已經在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域 ".example.com" 設定階段作業 ID Cookie。

例如：

cookie := http.Cookie{
  Name:       "sessionID",
  Value:      getSessionID(),
  Domain:     ".example.com",
}
...

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 弱點。任何已向 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 Cookie 的風險。

除了讀取 Cookie 之外，攻擊者還可以使用 insecure.example.com 來自行建立範圍過大的 Cookie，藉此執行可從 Secure.example.com 覆寫 Cookie 的「Cookie 破壞攻擊」。

開發人員通常會將 Cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
想像您已在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定階段作業 ID Cookie。

例如：

  Cookie cookie = new Cookie("sessionID", sessionID);
  cookie.setDomain(".example.com");

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。

除了讀取 cookie 之外，攻擊者還有可能使用 insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。

開發人員通常會將 Cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
想像您已在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定階段作業 ID Cookie。

例如：

  cookie_options = {};
  cookie_options.domain = '.example.com';
  ...
  res.cookie('important_cookie', info, cookie_options);

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。

除了讀取 cookie 之外，攻擊者還有可能使用 insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。

開發人員通常會將 Cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
想像您已在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定階段作業 ID Cookie。

例如：

  ...
  NSDictionary *cookieProperties = [NSDictionary dictionary];
  ...
  [cookieProperties setValue:@".example.com" forKey:NSHTTPCookieDomain];
  ...
  NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
  ...

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。

除了讀取 cookie 之外，攻擊者還有可能使用 insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。

開發人員通常會將 Cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
想像您已在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定工作階段 ID Cookie。

例如：

setcookie("mySessionId", getSessionID(), 0, "/", ".example.com", true, true);

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-site scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。

除了讀取 cookie 之外，攻擊者還有可能使用 insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。

開發人員通常會將 Cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：想像您已在 http://secure.example.com/ 上部署安全的應用程式，且當使用者登入時，應用程式以 ".example.com" 網域設定階段作業 ID Cookie。

例如：

from django.http.response import HttpResponse
...
def view_method(request):
  res = HttpResponse()
  res.set_cookie("mySessionId", getSessionID(), domain=".example.com")
  return res
...

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。

除了讀取 Cookie 之外，攻擊者還有可能使用 insecure.example.com 來自行建立過大範圍的 Cookie，藉此執行可從 secure.example.com 覆寫 Cookie 的「Cookie 破壞攻擊」。

開發人員通常會將 Cookie 設為在基礎網域 (如「.example.com」) 內啟用。這會將 Cookie 揭露給基礎網域及任何子網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
想像您已在 http://secure.example.com/ 部署安全的應用程式，且當使用者登入時，應用程式以網域「.example.com」設定階段作業 ID Cookie。

例如：

...
let properties = [
    NSHTTPCookieDomain: ".example.com",
    NSHTTPCookiePath: "/service",
    NSHTTPCookieName: "foo",
    NSHTTPCookieValue: "bar",
    NSHTTPCookieSecure: true
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...

假設您在 http://insecure.example.com/ 有另一個較不安全的應用程式，且它含有 Cross-Site Scripting 的弱點。任何已受 http://secure.example.com 驗證的使用者在瀏覽 http://insecure.example.com 時，會造成向 http://secure.example.com 暴露其階段作業 cookie 的風險。

除了讀取 cookie 之外，攻擊者還有可能使用 insecure.example.com 來自行建立過大範圍的 cookie，藉此執行可從 secure.example.com 覆寫 cookie 的 Cookie 下毒攻擊。

開發人員通常會將 Cookie 設為可從根內容路徑 (「/」) 存取。此舉會將 cookie 揭露給網域上所有的Ｗeb 應用程式。由於 cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
想像您已在 http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定階段作業 ID Cookie。例如：

...
String path = '/';
Cookie cookie = new Cookie('sessionID', sessionID, path, maxAge, true, 'Strict');
...

假設攻擊者在 http://communitypages.example.com/EvilSite 建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 之論壇使用者的帳戶安全。

除了讀取 Cookie 之外，攻擊者還有可能使用 /EvilSite 來自行建立過大範圍的 Cookie，藉此執行可從 /MyForum 覆寫 Cookie 的 Cookie 破壞攻擊。

開發人員通常會將 Cookie 設為根內容路徑「/」，不過，這麼做會將 Cookie 揭露給同一個網域名稱的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例：
想像您已在 http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定階段作業 ID cookie。

例如：

  HttpCookie cookie = new HttpCookie("sessionID", sessionID);
  cookie.Path = "/";

假設攻擊者在 http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。

除了讀取 cookie 之外，攻擊者還有可能使用 /EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。

開發人員通常會將 cookie 設為可從根內容路徑 (「/」) 存取。此舉會將 cookie 揭露給網域上所有的Ｗeb 應用程式。由於 cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共享 cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
假設您已經在 http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定階段作業 ID Cookie。

例如：

cookie := http.Cookie{
  Name:    "sessionID",
  Value:   sID,
  Expires: time.Now().AddDate(0, 0, 1),
  Path:    "/",
}
...

假設攻擊者在 http://communitypages.example.com/EvilSite 建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當論壇使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 之論壇使用者的帳戶安全。

除了讀取 Cookie 之外，攻擊者還可以使用 /EvilSite 來自行建立範圍過大的 Cookie，藉此執行可從 /MyForum 覆寫 Cookie 的「Cookie 破壞攻擊」。

開發人員通常會設定「可從根內容路徑 (「/」) 存取 Cookie」，不過，這麼做會將 Cookie 揭露給網域上的所有 Web 應用程式。由於 Cookie 通常具有敏感資訊 (如階段作業識別碼)，因此在應用程式間共用 Cookie 可能會使一個應用程式中出現弱點，進而對另一個應用程式造成危害。

範例 1：
想像您已在 http://communitypages.example.com/MyForum 部署論壇應用程式，且當使用者登入論壇時，應用程式以路徑「/」設定階段作業 ID cookie。

例如：

  Cookie cookie = new Cookie("sessionID", sessionID);
  cookie.setPath("/");

假設攻擊者在 http://communitypages.example.com/EvilSite建立另一個應用程式，並在此論壇中張貼連至此網站的連結。當該論壇的使用者按一下此連結時，瀏覽器會將由 /MyForum 設定的 Cookie 傳送到在 /EvilSite 執行的應用程式。透過竊取階段作業 ID，攻擊者便可危及瀏覽 /EvilSite 的任何論壇使用者之帳戶安全。

除了讀取 cookie 之外，攻擊者還有可能使用 /EvilSite 來自行建立過大範圍的 cookie，藉此執行可從 /MyForum 覆寫 cookie 的 Cookie 下毒攻擊。