Java代码审计之命令执行

介绍

由于业务需求，程序有可能要执行系统命令的功能，但如果执行的命令用户可控，业务上有没有做好限
制，就可能出现命令执行漏洞。
 

漏洞示例

此处以 getRuntime 为例，示例代码片段如下:

String cmd = request.getParameter("cmd");
Runtime.getRuntime().exec(cmd);

审计策略

这种漏洞原理上很简单，重点是找到执行系统命令的函数，看命令是否可控。在一些特殊的业务场景是能
判断出是否存在此类功能，这里举个典型的实例场景,有的程序功能需求提供网页截图功能，笔者见过多数
是使用 phantomjs 实现，那势必是需要调用系统命令执行 phantomjs 并传参实现截图。而参数大多数
情况下应该是当前 url 或其中获取相关参数，此时很有可能存在命令执行漏洞，还有一些其它比较特别的
场景可自行脑洞。
java 程序中执行系统命令的函数如下：

Runtime.exec
Process
ProcessBuilder.start
GroovyShell.evaluate
...

代码示例

修复方案

避免命令用户可控
如需用户输入参数，则对用户输入做严格校验，如&&、 |、 ;等