Injection de commandes
L’injection de commandes désigne une méthode d’attaque par laquelle un attaquant insère de manière malveillante des commandes système dans les champs de saisie utilisateur d’applications web afin de manipuler et de compromettre le système d’exploitation (OS) sous-jacent. En intégrant des séquences de commandes non prévues à des saisies utilisateur ordinaires, les attaquants peuvent obtenir un contrôle non autorisé au niveau de l’OS, avec de graves conséquences telles que la divulgation d’informations sensibles, la modification ou la suppression de fichiers système, l’infection par des logiciels malveillants (par exemple, des virus) ou l’utilisation du système comme plateforme pour lancer d’autres cyberattaques contre d’autres systèmes.
Prenons l’exemple suivant : un script exécute la commande « /usr/sbin/sendmail user@f5.com » à partir d’adresses e-mail saisies par l’utilisateur. Si un attaquant fournit une entrée malveillante telle que « user@f5.com ; rm -rf / », cette commande peut exécuter des opérations indésirables au niveau du système — dans cet exemple, la suppression récursive des fichiers situés dans le répertoire racine du serveur.
Pour prévenir les attaques par injection de commandes, les applications doivent rigoureusement assainir ou filtrer les données saisies par les utilisateurs afin de supprimer ou de neutraliser toute tentative d’introduction de caractères ou de commandes malveillants. Toutefois, il est particulièrement difficile d’assurer un assainissement complet et cohérent des données saisies dans l’ensemble des applications web. Une solution efficace à cette menace de sécurité consiste à déployer un pare-feu applicatif web (WAF), spécialement conçu pour valider et assainir les données saisies par les utilisateurs, ainsi que pour bloquer les charges utiles malveillantes.
F5 propose de solides fonctionnalités de WAF grâce à sa gamme de produits F5 BIG-IP afin d’assurer une protection contre l’injection de commandes et d’autres attaques sophistiquées visant les applications Web.
