Java代码审计：命令执行漏洞挖掘与防御

1.1. 漏洞挖掘

在Java中，常见的命令执行漏洞通常利用 Runtime.getRuntime().exec() 或 ProcessBuilder.start() 方法来执行系统命令。这两种方法在实现上略有不同，但都存在潜在的安全风险。

<code>String cmd = request.getParameter("cmd"); Runtime runtime = Runtime.getRuntime(); ProcessBuilder processBuilder = new ProcessBuilder(cmd); String result = ""; try { Process process = processBuilder.start(); BufferedInputStream bis = new BufferedInputStream(process.getInputStream()); BufferedReader bufferedReader = new BufferedReader(new InputStreamReader(bis)); String line = ""; while (null != (line = bufferedReader.readLine())) { result += line + "\n"; } if (process.waitFor() != 0) { if (process.exitValue() == 1) response.getWriter().println("command exec failed"); } bis.close(); bufferedReader.close(); } catch (Exception e) { response.getWriter().println("error"); return; } response.getWriter().println(result);</code>

在以上代码中，用户通过 HTTP 请求传递命令参数，然后通过 ProcessBuilder 启动一个新的进程来执行该命令。如果恶意用户能够控制命令参数，就有可能造成命令执行漏洞。

虽然 Java 在执行命令时会将参数用空格拆分，防止一些特殊字符如 ;、|、& 等被用于命令注入，但仍有风险。如果参数完全可控，攻击者可以自行启动 shell，再执行恶意命令。

1.2. 漏洞防御

命令执行漏洞的防御策略取决于具体的应用场景，但以下几点是通用的防御建议：

• 避免调用shell来执行命令： 尽可能使用更安全的替代方案，避免直接调用系统命令执行器。
• 严格过滤命令参数： 如果必须拼接参数来执行命令，确保严格过滤参数，只允许安全字符如字母和数字，不要允许特殊字符或通配符。

通过以上防御措施，可以有效减少命令执行漏洞的风险，保护系统安全。