Exécution de code à distance (RCE)

Comment fonctionne l’injection de code/l’exécution de code à distance ?

Les vulnérabilités RCE peuvent apparaître dans n’importe quel type de logiciel informatique, dans presque tous les langages de programmation et sur n’importe quelle plate-forme. Il existe des vulnérabilités RCE, par exemple, dans les applications Windows autonomes écrites en C#, les applications Web et les API écrites en PHP, les applications mobiles écrites en Java, et même dans les systèmes d’exploitation eux-mêmes.

D’autres vulnérabilités peuvent conduire à l’exécution de code arbitraire à distance. Par exemple, les vulnérabilités de dépassement de mémoire tampon dans des langages tels que C/C++ peuvent permettre à l’attaquant d’exécuter du code arbitraire dans l’application. Les vulnérabilités de désérialisation peuvent également permettre aux attaquants de fournir une charge utile qui, une fois désérialisée, inclut du code que l’application exécute. Il existe même des cas connus de vulnérabilités d’ injection SQL et de script intersite (XSS) conduisant à l’exécution de code à distance dans une application vulnérable.

Certaines attaques RCE peuvent se produire après un certain délai. Par exemple, l’application peut d’abord stocker la charge utile RCE dans un fichier de configuration et ne l’exécuter que plus tard, peut-être même plusieurs fois. Ce type de vulnérabilité RCE est appelé un RCE stocké .

Notez que l’injection RCE/code est souvent confondue avec l’ injection de commande OS . Dans le cas de RCE, le code exécuté est dans le langage de l’application et s’exécute dans le contexte de l’application. Pour l’injection de commande du système d’exploitation, l’attaquant exécute une commande du système d’exploitation. Notez également que si le terme injection de code est préféré par OWASP et défini dans CWE-94 , le terme exécution de code à distance est beaucoup plus répandu.

Vulnérabilités RCE dans les applications Web

Chaque langage de programmation courant utilisé dans le développement Web a des fonctions pour évaluer (exécuter) le code dans ce langage au moment de l’exécution. Chaque fois que les développeurs utilisent de telles fonctions dans les applications Web, ils introduisent la possibilité d’exécution de code à distance côté serveur Web. Un exemple d’une telle fonction en PHP et JavaScript est eval .

Si le développeur autorise une fonction telle que eval à traiter une entrée utilisateur non filtrée, un attaquant malveillant peut être en mesure d’injecter du code en l’incluant dans l’entrée utilisateur. Les exemples d’entrées contrôlables par l’utilisateur incluent le texte des formulaires Web, le contenu des en-têtes HTTP, les fichiers téléchargés par l’utilisateur ou même les cookies modifiés.

Exemple d’attaque d’exécution de code Web à distance

Vous trouverez ci-dessous un exemple simple de code source PHP avec des vulnérabilités d’injection de code (RCE) et un vecteur d’attaque par injection de code sur les applications qui incluent ce code.

Code vulnérable

 eval("echo ".$_GET["user"].";"); ?>

Le développeur suppose que l’utilisateur ne fournira qu’un nom d’utilisateur valide comme paramètre d’une URL :

http://www.example.com/index.php?user=admin

Par conséquent, l’application évalue la valeur du paramètre en tant que code :

echo admin;

et imprime le nom de l’utilisateur.

Le vecteur d’attaque

L’attaquant peut injecter du code malveillant en saisissant un point-virgule suivi de la charge utile. Le point-virgule oblige la fonction eval à traiter le reste de la charge utile comme s’il s’agissait d’une nouvelle instruction en PHP :

http://www.example.com/index.php?user=admin;phpinfo();

En conséquence, la fonction eval exécute le code :

echo admin;
phpinfo();

Conséquences potentielles d’une attaque Web RCE

L’exécution de code à distance est l’une des vulnérabilités les plus graves car les conséquences des cyberattaques RCE sont pratiquement illimitées, en particulier dans le cas des applications Web.

La méthode la plus courante utilisée par les attaquants pour exploiter les vulnérabilités Web RCE consiste à installer des Web Shells . Une telle charge utile d’exploit RCE inclut un code qui permet à l’attaquant d’obtenir un accès shell sur la machine cible afin d’exécuter des commandes système. Le shell peut être un shell inversé , ce qui permet à l’attaquant d’éviter la plupart des pare-feu.

Le shell Web a les mêmes privilèges que le serveur Web, qui sont généralement limités. Cependant, une fois que l’attaquant a accès au shell sur la machine distante, il peut essayer de trouver d’autres vulnérabilités et utiliser l’élévation de privilèges (élévation de privilèges) pour obtenir un accès root.

En cas de succès, l’attaquant aura un accès illimité à la machine cible et pourra poursuivre avec l’un des types d’attaques courants suivants :

• Ransomware ou autre malware : l’attaquant peut installer un agent ransomware sur la machine, qui utilisera ensuite d’autres méthodes pour se propager à d’autres actifs appartenant à la victime.
• Extraction de crypto-monnaie : les attaquants installent souvent des mineurs de crypto-monnaie sur des machines compromises. L’exploitation minière consomme vos ressources informatiques pour fournir aux cybercriminels un financement pour davantage d’activités malveillantes.
• Vol de données sensibles : l’attaquant peut utiliser l’élévation de privilèges pour accéder aux serveurs de bases de données SQL contenant des données sensibles telles que des numéros de carte de crédit.