Command injection

/// <summary>/// Ba thứ, và thứ ba là thứ hay bị bỏ://////   1. KHÔNG có shell — FileName là chính binary, không phải /bin/sh.///   2. ArgumentList, không phải Arguments: mỗi phần tử tới execve như MỘT đối số,///      không qua vòng ghép-rồi-tách nào.///   3. "--" trước đối số của người dùng, cộng một phép kiểm rằng nó không bắt đầu///      bằng "-". Argument injection không cần ký tự đặc biệt nào: "--output /app/x"///      đi qua mọi bản vá chỉ nghĩ tới ; và |./// </summary>public sealed class PingService{    // Đường dẫn TUYỆT ĐỐI. Tên trần phụ thuộc PATH, và PATH là thứ đổi được — qua    // biến môi trường của container, qua một Dockerfile bị sửa, qua chính RCE này.    private const string PingBinary = "/usr/bin/ping";     public async Task<string> PingAsync(string host, CancellationToken ct)    {        // Kiểm hình dạng: KHÔNG phải bản vá chính, chỉ là chặn sớm cho thông báo lỗi        // tử tế. Bản vá chính là ArgumentList bên dưới, và nó đứng vững cả khi phép        // kiểm này bị ai đó xoá đi trong lần refactor sau.        if (host.Length is 0 or > 253 || host.StartsWith('-'))            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Invalid host");         var psi = new ProcessStartInfo        {            FileName = PingBinary,            UseShellExecute = false,            RedirectStandardOutput = true,            RedirectStandardError = true,        };         // Mỗi phần tử là MỘT đối số. Chuỗi "8.8.8.8; cat /etc/passwd" tới ping        // nguyên vẹn — và ping trả lời "invalid host", đúng như một hostname sai.        psi.ArgumentList.Add("-c");        psi.ArgumentList.Add("1");        psi.ArgumentList.Add("-W");        psi.ArgumentList.Add("2");        psi.ArgumentList.Add("--");     // mọi thứ sau đây là toán hạng, không phải cờ        psi.ArgumentList.Add(host);         using var p = Process.Start(psi)            ?? throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Could not start ping");         // Timeout là bắt buộc: một lệnh treo giữ một thread và một process con mãi mãi,        // và đó là DoS mà không cần lỗ hổng nào.        using var timeout = CancellationTokenSource.CreateLinkedTokenSource(ct);        timeout.CancelAfter(TimeSpan.FromSeconds(5));         var stdout = await p.StandardOutput.ReadToEndAsync(timeout.Token);        try        {            await p.WaitForExitAsync(timeout.Token);        }        catch (OperationCanceledException)        {            p.Kill(entireProcessTree: true);            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Ping timed out");        }         return stdout;    }} // Và bản vá TỐT HƠN cho đúng trường hợp này: không có process con nào cả.// Phần lớn lời gọi shell trong web app tồn tại vì nó nhanh nhất, không vì nó là// cách duy nhất — .NET có sẵn ICMP trong thư viện chuẩn.public async Task<string> PingWithoutProcessAsync(string host, CancellationToken ct){    using var ping = new System.Net.NetworkInformation.Ping();    var reply = await ping.SendPingAsync(host, TimeSpan.FromSeconds(2), cancellationToken: ct);    return $"{reply.Status} {reply.RoundtripTime}ms";}

import reimport subprocessfrom pathlib import Path UPLOADS = Path("/uploads").resolve()OUT = Path("/out").resolve() # Tên file do người dùng đặt: allowlist HÌNH DẠNG. Đây không phải bản vá chính —# bản vá chính là mảng argv — nhưng nó chặn sớm và đóng luôn path traversal.SAFE_NAME = re.compile(r"^[A-Za-z0-9_-]{1,64}\.(png|jpe?g|webp)$")  class UnsafeInput(Exception):    pass  def convert(filename: str) -> Path:    if not SAFE_NAME.match(filename):        raise UnsafeInput("bad filename")     src = (UPLOADS / filename).resolve()    dst = (OUT / filename).resolve()    # Canonical hoá rồi so — xem topic path-traversal. SAFE_NAME đã chặn "../"    # nhưng dựa vào một regex duy nhất là dựa vào việc không ai sửa nó.    if not src.is_relative_to(UPLOADS) or not dst.is_relative_to(OUT):        raise UnsafeInput("escapes directory")     subprocess.run(        [            "/usr/bin/convert",   # đường dẫn tuyệt đối: không phụ thuộc PATH            "--",                 # mọi thứ sau đây là toán hạng, không phải cờ            str(src),            "-resize", "200x200",            str(dst),        ],        shell=False,              # mặc định, nhưng viết ra để người đọc sau thấy là cố ý        check=True,        timeout=20,               # lệnh treo là DoS không cần lỗ hổng nào        capture_output=True,      # stderr vào log, KHÔNG vào response    )    return dst