An attacker changes the behavior or state of a targeted application through injecting data or command syntax through the targets use of non-validated and non-filtered arguments of exposed services or methods.
Description
Attack Execution Flow
3
1
Step 1
Explore[Discovery of potential injection vectors] Using an automated tool or manual discovery, the attacker identifies services or methods with arguments that could potentially be used as injection vectors (OS, API, SQL procedures, etc.).
Manually cover the application and record the possible places where arguments could be passed into external systems.
Use a spider, for web applications, to create a list of URLs and associated inputs.
AI Translation
[Scoperta di potenziali vettori di injection] Utilizzando uno strumento automatizzato o una scoperta manuale, l'attaccante identifica servizi o metodi con argomenti che potrebbero essere potenzialmente utilizzati come vettori di injection (OS, API, procedure SQL, ecc.).
Copri manualmente l'applicazione e registra i possibili punti in cui gli argomenti potrebbero essere passati a sistemi esterni.
Utilizza uno spider, per le applicazioni web, per creare un elenco di URL e input associati.
Attack Techniques
-
Manually cover the application and record the possible places where arguments could be passed into external systems.
-
Use a spider, for web applications, to create a list of URLs and associated inputs.IT: Copri manualmente l'applicazione e registra i possibili punti in cui gli argomenti potrebbero essere passati a sistemi esterni.
2
Step 2
Experiment[1. Attempt variations on argument content] Possibly using an automated tool, the attacker will perform injection variations of the arguments.
Use a very large list of probe strings in order to detect if there is a positive result, and, what type of system has been targeted (if obscure).
Use a proxy tool to record results, error messages and/or log if accessible.
AI Translation
[1. Tentare variazioni sul contenuto degli argomenti] Utilizzando possibilmente uno strumento automatizzato, l'attaccante eseguirà variazioni di injection sugli argomenti.
Utilizzare un elenco molto ampio di stringhe di probe per rilevare se ci sono risultati positivi e, di che tipo di sistema si tratta (se oscuro).
Utilizzare uno strumento proxy per registrare i risultati, i messaggi di errore e/o i log, se accessibili.
Attack Techniques
-
Use a very large list of probe strings in order to detect if there is a positive result, and, what type of system has been targeted (if obscure).
-
Use a proxy tool to record results, error messages and/or log if accessible.IT: Utilizza un elenco molto ampio di stringhe di probe per rilevare se ci sono risultati positivi e, in tal caso, quale tipo di sistema è stato preso di mira (se è poco noto).
3
Step 3
Exploit[Abuse of the application] The attacker injects specific syntax into a particular argument in order to generate a specific malicious effect in the targeted application.
Manually inject specific payload into targeted argument.
AI Translation
[Abuso dell'applicazione] L'attaccante inserisce una sintassi specifica in un determinato argomento al fine di generare un effetto dannoso mirato nell'applicazione bersaglio.
Inserimento manuale di payload specifici nell'argomento mirato.
Attack Techniques
-
Manually inject specific payload into targeted argument.
Mitigations
3
Design: Do Not Program Input Values Directly On Command Shell, Instead Treat User Input As Guilty Until Proven Innocent. Build A Function That Takes User Input And Converts It To Applications Specific Types And Values, Stripping Or Filtering Out All Unauthorized Commands And Characters In The Process.
Design: Limit Program Privileges, So If Metacharacters Or Other Methods Circumvent Program Input Validation Routines And Shell Access Is Attained Then It Is Not Running Under A Privileged Account. Chroot Jails Create A Sandbox For The Application To Execute In, Making It More Difficult For An Attacker To Elevate Privilege Even In The Case That A Compromise Has Occurred.
Implementation: Implement An Audit Log That Is Written To A Separate Host, In The Event Of A Compromise The Audit Log May Be Able To Provide Evidence And Details Of The Compromise.
Consequences
Security Scopes Affected
Access Control
Authorization
Confidentiality
Integrity
Potential Impacts
Gain Privileges
Modify Data
Read Data
Relationships
Parent CAPECs
Resources Required
1
Ability to communicate synchronously or asynchronously with server. Optionally, ability to capture output directly through synchronous communication or other method such as FTP.