Python : subprocess.call injection

Question

저는 가정 학습을하고 있습니다. 저는 일부 Python 코드에 명령 삽입을 시도하려고합니다.

내가 가지고있는 문제는 수표와 함께 있고, 캔트가 그것을 우회하는 것처럼 보입니다.

address = sys.argv[1] 
if not re.match("\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}", address): 
    return usage("Invalid argument") 

subprocess.call("/bin/ping -c 3 '{0}'".format (address), shell = True) 

유효한 IP 주소 인 경우 위 프로세스가 올바른지 확인한 다음이를 수행하는 방법에 대해 조언 하시겠습니까? 종류 안부

, 패트릭

Answer 1

당신은 시스템 명령 다음에 유효한 IP 주소, 예를 들어, 사용할 수 있습니다 : 당신이 인수를 포함 따옴표로 argv[1]를 포장하려면

127.0.0.1';/sbin/ifconfig;:' 

을 :

"127.0.0.1';/bin/ls -al /root;'"