命令执行类漏洞的入口
远程命令执行（RCE）在 Web 场景中往往不是直接调用系统命令，而是通过文件路径、模板渲染、反序列化、第三方组件漏洞间接达成。业务上这些入口看起来很正常：文件下载与预览、模板生成、图片处理、报表导出。防护思路是在这些高风险入口上加检测，同时让后端以最小权限运行，把「执行成功」的后果压到最低。
基本信息
| 适用平台 | WAF 侧检测 + 应用侧最小权限 + 组件版本管理 |
|---|---|
| 高风险入口 | 文件路径参数、模板渲染、图片与文档处理、序列化数据 |
| 检测内容 | 路径穿越特征及其编码形式、命令分隔符、危险函数调用特征 |
| 业务侧配合 | 以最小权限运行、禁用不必要的危险函数、组件及时升级 |
典型使用场景
- 文件下载与预览：路径参数最容易被试出穿越，是重点检测对象
- 模板与报表服务：用户可控内容进入模板引擎，可能触发表达式执行
- 图片与文档转换：文档处理组件历史漏洞多，是常见的 RCE 入口
- 第三方组件升级：组件漏洞公开后攻击流量会在一两天内出现
- 应急防护：漏洞尚无补丁时，先用规则拦截争取修复时间
配置建议
配置建议
1. 文件下载、预览、导出类接口开启高强度检测
2. 确保引擎做解码后匹配，覆盖各种编码与变形写法
3. 对确需放行的管理类接口，走独立来源限制而不是直接放行规则
4. 关注路径穿越与命令分隔符的告警，逐条研判是否成功
5. 规则是临时措施：组件升级与接口改造才是根本处理检测与根治对照
| 层面 | 措施 | 局限 |
|---|---|---|
| WAF 规则 | 拦截已知攻击特征 | 变形与新型绕过难覆盖 |
| 接口改造 | 取消用户可控的路径与命令拼接 | 改造周期长 |
| 权限收敛 | 以最小权限运行服务 | 降低后果但不阻止利用 |
| 组件升级 | 修补已知漏洞 | 需排期与回归验证 |
应把 WAF 规则视为争取修复时间的临时措施：只靠特征拦截，遇上编码变形或新型利用方式就可能失效，组件升级与接口改造才是根治。