Wat is een opdrachtinjectie?
Een opdrachtinjectie is een uitbuiting van een systeemzwakte om toegang tot het systeem te krijgen voor het uitvoeren van kwaadaardige code, het verzamelen van gebruikersgegevens en het uitvoeren van andere activiteiten. Hoewel het mogelijk is dat een opdrachtinjectie goedaardig van aard is, is dit meestal niet het geval en kan het een aanzienlijke beveiligingsrisico vormen. Er zijn een aantal oplossingen om deze activiteit in computersystemen te voorkomen.
Een van de meest voorkomende kwetsbaarheden voor een opdrachtinjectie is een formulier, hetzij op een webpagina of in een computersysteem. Formulieren stellen mensen in staat om gegevens in te voeren en worden vervolgens door het systeem verwerkt. Als er geen beperkingen gelden voor het type gegevens dat in het formulier is ingevoerd, is het mogelijk dat mensen computercode invoeren die het systeem zal lezen en uitvoeren. Formulieren op webpagina's kunnen de invoer ook omzetten in weergave voor andere gebruikers, waardoor andere mensen ook aan code kunnen worden blootgesteld; iemand kan bijvoorbeeld een kwaadaardig script achterlaten in de opmerkingen op een website.
Wanneer de code wordt uitgevoerd, kan het dingen doen zoals mensen toegang geven tot de backend van een computersysteem, inclusief beheerderstoegang, en kan het ook virussen en malware op een computersysteem planten. Command-injecties kunnen worden ontworpen om zichzelf te verspreiden, omdat geïnfecteerde computers via een netwerk communiceren met niet-geïnfecteerde computers. Ze kunnen zich zeer snel verspreiden en onderweg aanzienlijke schade aanrichten.
Een manier om een opdrachtinjectie te voorkomen, is om formulieren en andere invoer te ontwerpen op een manier die is ontworpen om te beperken wat mensen kunnen invoeren. Op internetcommentaren is er bijvoorbeeld waarschijnlijk geen legitieme reden voor gebruikers om scripts in te voeren, en het reactieformulier kan het script eenvoudig weigeren, terwijl HTML nog steeds wordt toegestaan voor markup en styling. Evenzo kunnen in een computerprogramma de invoerformulieren invoer van bepaalde tekens weigeren, waardoor wordt voorkomen dat mensen code in het formulier uitvoeren.
Het potentiële risico van de commando-injectie werd voor het eerst opgemerkt in de jaren negentig. Talloze ontwerpers hebben het probleem aangepakt en verschillende manieren bedacht om commando-injectieaanvallen te voorkomen of te stoppen. Hackers hebben ook geprobeerd hun eigen oplossingen te ontwikkelen en nieuwe en creatieve manieren te ontwikkelen om code uit te voeren via zwakke punten in een computersysteem. Sommige mensen ontwikkelen nieuwe technieken uit puur academische interesse en verwoesten incidenteel per ongeluk wanneer hun onderzoek als het ware in het wild ontsnapt.