| 高风险功能 | 格式转换、图片处理、压缩解压、网络诊断类接口 |
|---|---|
| 信号 | 回显中出现标记、耗时异常、错误信息 |
| 原则 | 验证式探测、即停、即记录 |
验证流程
验证流程
1. 定位会调用外部程序的功能与参数
2. 提交无害标记字符串，观察回显或输出文件是否体现
3. 无回显时用多次采样的时间差对比
4. 记录参数、现象、采样数据；停止进一步动作严禁在生产环境执行写入、下载、反弹类命令；容器与宿主机都要纳入影响评估。
命令注入检测思路
应用把输入拼接进系统命令执行时会产生命令注入；验证以无害标记与时间差信号为主，不执行任何读写或外联动作。
易错点
- 把业务本身的长耗时（转码、报表）当注入信号
- 忽略 Windows 与 Linux 命令差异导致误判
数据来源与参考
- OWASP WSTG WSTG-INPV-12
- CWE-78（OS Command Injection）