Typ útoku
Injection a vykonanie príkazu
Nedôveryhodný vstup zmení význam príkazu, dotazu alebo šablóny a umožní čítanie dát, obídenie logiky alebo vykonanie kódu.
Prečo je tento scenár dôležitý
Scenár zahŕňa SQL a NoSQL injection, OS command injection, LDAP a XPath injection, template injection aj príbuzné chyby interpretácie. Útočník využije chýbajúcu parametrizáciu, validáciu, escaping alebo oddelenie dát od príkazov.
Prevencia začína bezpečným návrhom a parametrizovanými rozhraniami, pokračuje SAST, DAST a testami a dopĺňa ju runtime ochrana, WAF, minimálne oprávnenia a detekcia neobvyklých príkazov.
Scenár používa MITRE ATT&CK® ako referenčný model. Ide o odbornú interpretáciu SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Relevantné taktiky ATT&CK
- Execution
- Initial Access
Relevantné techniky ATT&CK
Referenčné rámce
Technológie a vendori SecTec
Nasledujúca hierarchia je odvodená zo schváleného mapovania ATT&CK na technológie a technológií na vendorov.