Command Injection: Обход Blacklist-фильтра в Node.js

# Command Injection: обход blacklist-фильтра ## Сценарий Вы — пентестер на аудите **NightOps**, магазина снаряжения для специалистов по безопасности. В админ-панели есть функция диагностики сети: администратор вводит хост, сервер выполняет ping. Разработчики знают об опасности инъекции команд и поставили самописный WAF — чёрный список символов и слов. Заказчик просит проверить, устоит ли эта защита. ## Цель 1. Войдите в панель администратора и найдите функцию диагностики сети. 2. Изучите логику фильтра: какие символы и слова он блокирует. 3. Обойдите чёрный список и выполните произвольную команду на сервере. 4. Извлеките CTF-флаг из вывода выполненной команды. ## Теория Command Injection (CWE-78) возникает, когда пользовательский ввод попадает в системную команду, исполняемую через shell. Чёрный список здесь блокирует пробел и несколько «опасных» слов — но оболочка позволяет записать одну и ту же команду десятками эквивалентных способов, поэтому любой конечный список запрещённых строк обходится. **Уязвимый паттерн:** ```javascript const command = `ping -c 1 -W 1 ${host}`; const output = execSync(command, { timeout: 5000, encoding: 'utf8' }); ``` Ввод администратора вклеивается прямо в строку команды и исполняется оболочкой: всё, что фильтр пропустил, shell трактует по своим правилам. Разделители команд и формы подстановки, не попавшие в список, позволяют дописать к пингу вторую команду — без единого пробела и без заблокированных слов. ## Точка входа атаки `POST /admin/ping` — форма диагностики сети в админ-панели, поле `host`; доступна после входа администратором. * **Администратор:** `admin` / `SuperSecret` * **Обычный пользователь:** `demo` / `demo`