Command Injection: Базовая инъекция команд в Node.js

# Command Injection (Инъекция команд ОС) ## Сценарий Вы проводите аудит **BugBazaar** — интернет-магазина оборудования для тестирования на проникновение, построенного на Node.js и Express. Ночью из контейнера приложения исходили подозрительные сетевые соединения, а последним новшеством в панели администратора оказался инструмент «проверка доступности хоста». Вам поручают выяснить, безопасно ли он реализован. ## Цель 1. Войдите под учётной записью администратора и найдите инструмент диагностики сети. 2. Исследуйте обработку поля «хост»: проверьте, попадает ли введённое значение в системную команду без изменений. 3. С помощью инъекции команды добейтесь вывода секрета, который приложение хранит в переменной окружения, — это и есть флаг. ## Теория Инъекция команд возникает, когда пользовательский ввод становится частью строки, исполняемой оболочкой операционной системы. Оболочка читает такую строку целиком и распознаёт в ней собственные управляющие конструкции — разделители команд и подстановки. **Уязвимый паттерн:** ```js // Ввод пользователя вшивается в командную строку: const cmd = `ping -c 3 ${host}`; // Строка целиком уходит оболочке на исполнение: exec(cmd); ``` Если к адресу хоста дописать разделитель команд и собственную инструкцию, оболочка выполнит обе команды — и вывод второй попадёт в ответ страницы. ## Точка входа атаки `POST /admin/ping` — форма диагностики сети в панели администратора, поле `host`. * **Администратор:** `admin` / `lab-secret` * **Обычный пользователь:** `demo` / `demo`