Command Injection: Обход Blacklist WAF

# Инъекция команд ОС: обход чёрного списка ## Сценарий **PingTool** — магазин инструментов для сетевой диагностики. В панели администратора есть форма проверки доступности хоста; осознавая опасность инъекции команд, разработчик прикрыл её фильтром на основе чёрного списка: пробел и несколько «опасных» слов блокируются. Владелец поручил вам проверить, выдерживает ли такая защита профессиональный аудит. ## Цель 1. Войдите в панель администратора и изучите логику фильтра: какие строки он блокирует и как именно сравнивает ввод. 2. Подтвердите, что рядовая инъекция команд фильтром останавливается. 3. Обойдите чёрный список и выполните на сервере произвольную команду. 4. Выведите значение флага из переменной окружения лаборатории. ## Теория Blacklist-фильтр отклоняет ввод, содержащий запрещённые подстроки, но не убирает оболочку из цепочки выполнения: если проверка пройдена, введённая строка по-прежнему становится частью системной команды. Оболочка же позволяет записать одну и ту же команду десятками способов — через синонимы утилит, подстановку переменных и альтернативные разделители, — и ни один список запрещённых написаний не покрывает их все. **Уязвимый паттерн:** ```python # если ввод не содержит запрещённых подстрок — он уходит в оболочку: output = os.popen(f"ping -c 3 {host}").read() ``` Фильтр к тому же сравнивает строки буквально: чувствителен к регистру и видит только точные написания. Всё, что записано иначе — другой регистр, другая запись того же разделителя, команда-синоним, — проходит мимо проверки и исполняется оболочкой с правами приложения. Класс проблемы — OS Command Injection (CWE-78; OWASP A03:2021) с ложным ощущением защищённости. ## Точка входа атаки `POST /admin/ping` — форма диагностики сети с полем `host`; доступна после входа администратором. * **Администратор:** `admin` / `lab-secret` * **Обычный пользователь:** `demo` / `demo`