操作系统命令注入

Question

OS Command Injection 是否适用于 winform 应用程序？

这是主要的安全威胁吗？

如果是，那么保护应用程序免受攻击的最佳可行解决方案是什么？

以上任何链接将不胜感激。

这里是示例代码

公共静态无效 RunNewInstance（参考字符串 pstrUserRole） { 组装 asm = Assembly.GetExecutingAssembly(); 字符串 lstrExeName = asm.ManifestModule.Name; 进程 proc = new Process(); 字符串 lstrCurrentDirectory = Environment.CurrentDirectory; proc.StartInfo.FileName = lstrCurrentDirectory + "\\" + strExeName; proc.StartInfo.Arguments = pstrUserRole; proc.Start(); }

Answer 1

如果您的 winforms 应用程序允许用户输入执行他们原本无法执行的任意系统命令，那么是的，它很容易受到攻击。解决方案是不允许它。与其运行 shell 命令，不如明确说明允许用户做什么。不允许用户做任何事情。

这是一个非常笼统的答案，但您没有提供有关您的应用的具体信息，因此无法知道最适合您的决定是什么。

但我的猜测是，因为这是一个 winforms 应用程序，所以该应用程序可能具有与交互式用户相同的权限。在这种情况下，只要打开命令提示符，您的应用就没有其他事情可以做。

也许您应该提供有关您的应用程序的更多详细信息，以及您为什么害怕这个特定的漏洞。