Command Injection: обход blacklist-фильтра WAF

# Инъекция команд: обход чёрного списка фильтра ## Сценарий «Хостфорсаж» — провайдер бюджетного хостинга с интернет-магазином тарифов. После прошлогоднего аудита, нашедшего инъекцию команд в диагностике сети, сисадмин Толик Басов закрыл форму чёрным списком «опасных» символов и слов и рапортовал руководству о полном устранении. Руководитель службы безопасности не верит в защиту списком и попросил вас показать, что фильтр обходится, пока ввод по-прежнему доходит до оболочки. ## Цель 1. Войдите администратором, откройте инструмент проверки хоста и экспериментами определите, какие символы и слова блокирует фильтр. 2. Подберите запись дописываемой команды, эквивалентную исходной, но не содержащую запрещённых элементов, и подтвердите её исполнение. 3. Прочитайте значение флага из окружения процесса — строка флага появится на странице диагностики. ## Теория Чёрный список для оболочки неполон по построению: это язык, в котором одно действие записывается множеством способов. Пробел заменяется раскрытием переменной-разделителя полей или разворачиванием списка в фигурных скобках; последовательный запуск — не только точкой с запятой, но и конвейером либо переносом строки; имя переменной окружения нечувствительно к регистру, а имя утилиты можно разорвать кавычками — склейка произойдёт при исполнении. Фильтр сравнивает байты входной строки, оболочка интерпретирует синтаксис — эти две картины не совпадают. **Уязвимый паттерн:** ```php // VULNERABILITY: blacklist-фильтр — обходим через эквиваленты $blacklist = [' ', ';', 'cat', 'flag', 'tail', 'more', 'less']; // VULNERABILITY: после прохождения фильтра — прямая shell-конкатенация $output = shell_exec("ping -c 3 " . $host . " 2>&1"); ``` Механика атаки: сначала восстанавливается перечень блокируемого по реакции формы, затем выбирается эквивалентная запись — без пробелов и запрещённых слов, но с тем же эффектом. Введённое значение проходит байтовую проверку, а при исполнении оболочка раскрывает подстановки и запускает дописанную инструкцию с правами процесса приложения. ## Точка входа атаки `POST /admin/ping` — форма проверки хоста в админ-панели, поле `host`. * **Обычный пользователь:** `demo` / `demo` * **Администратор:** `admin` / `lab-secret`