命令注入是一种严重的网络攻击，攻击者通过易受攻击的应用程序在主机操作系统 (OS) 上执行任意命令。此攻击利用应用程序中的安全漏洞（通常与输入验证不足相关）来运行恶意命令。通过操纵表单或 cookie 等输入，攻击者可以引入或“注入”应用程序无意中执行的命令。
命令注入的本质在于攻击者能够控制发送到系统的命令。例如，当应用程序将不安全的用户提供的数据（如标头、cookie 或表单数据）传递到系统 shell 时，可能会导致执行意外的命令。这通常发生在无法正确清理用户输入的 Web 应用程序中。当攻击者利用此漏洞时，他们可以使用与应用程序相同的权限在服务器上执行操作。这可能导致各种恶意活动，包括数据盗窃、网站篡改和服务器接管。
命令注入攻击可以以不同的形式表现出来：
- 直接执行 Shell 命令：最直接的形式，攻击者直接将命令输入表单字段或通过操纵的 URL，导致服务器执行它们。
- 注入恶意文件：攻击者可能会将恶意脚本或文件注入到服务器的运行环境中。当这些文件被执行时，它们可以执行有害操作或创建后门以供进一步利用。
- 利用配置文件：配置文件中的漏洞（例如 XXE 攻击中的 XML 文件）也可以被利用。攻击者操纵这些文件来执行任意命令或提取数据。
命令注入攻击的影响可能很严重，特别是当受感染的服务器在网络中拥有高权限时。防范此类攻击涉及实施强大的输入验证、使用安全编码实践、定期更新和修补系统以及采用 Web 应用程序防火墙 (WAF) 等安全机制。意识和主动安全措施对于防止命令注入漏洞和保护 Web 应用程序及其底层系统的完整性至关重要。