• Uygulama kaynak kodlarında kabuk komutu (harici program) çağrıldığında “Comman Injection”
  
  
• Uygulama kaynak kodlarında kabuk komutu (harici program) olarak derleyici ya da yorumlayıcı (interpreter) çağırıldığında “Code Injection”
  
  
• Uygulama kaynak kodlarında kabuk komutu (harici program) dosya yollarını düzenlemenin mümkün olduğu argüman yapısında olduğunda ve çağırıldığında “Path Traversal”
  
  
• Kabuk komutu kendi içerisinde açıklık barındırdığında ve çağırıldığında “Buffer Overflow”
  
  

// GÜVENSİZ ÖRNEK

// ENG: Execute External Program with Arguments from Database
// 
// TUR: Veri Tabanından Çekilen Argümanlar ile Harici Bir 
//      Program Çalıştırma

private String executeSystemCommand_Unsafe(HttpServletRequest request) throws Exception {
    String commandResult;
    
    String param = request.getParameter("CommandID");
    int commandID = Integer.parseInt(param);
    
    ResultSet rs = readCommandFromDB(commandID); 
    String commandFromDB = rs.getString("Arg");
    
    try {
        Runtime runtime = Runtime.getRuntime();
        Process subProc = runtime.exec(EXTERNAL_PROGRAM + " " + commandFromDB);
        
        BufferedReader irProcOutput = new BufferedReader(new InputStreamReader(subProc.getInputStream()));

        String line = null;
        while ((line = irProcOutput.readLine()) != null)
            commandResult += line; 

        irProcOutput.close();       

    } catch (Exception ex) {
        handleExceptions(ex);
    }
    
    return commandResult;
} 

// GÜVENLİ ÖRNEK

// ENG: Execute External Program with Alphanumeric 
//      Arguments from DB, Sanitized with Regex
//
// TUR: Regexp ile Filtrelenmiş, Veri Tabanından 
//      Çekilmiş Alfanümerk Argumanlar ile Harici 
//      Program Çalıştırma 

private String executeSystemCommand_Safe(HttpServletRequest request) throws Exception {
    String commandResult;
    
    String param = request.getParameter("CommandID");
    int commandID = Integer.parseInt(param);
    
    ResultSet rs = readCommandFromDB(commandID); 
    String commandFromDB = rs.getString("Arg");
    commandFromDB = commandFromDB.replaceAll("[^A-Za-z0-9]", "");
    String[] programArgs = new String[] ( EXTERNAL_EXECUTABLE, commandFromDB );
    try {
        Runtime runtime = Runtime.getRuntime();
        Process subProc = runtime.exec(programArgs );
        
        BufferedReader irProcOutput = new BufferedReader(new InputStreamReader(subProc.getInputStream()));

        String line = null;
        while ((line = irProcOutput.readLine()) != null)
            commandResult += line; 

        irProcOutput.close();       

    } catch (Exception ex) {
        handleExceptions(ex);
    }
    
    return commandResult;
} 

// GÜVENSİZ KOD

<?php
    $result = mysql_query($conn, $sql);                // Taint Source (Input)
    
    if (mysql_num_rows($result) > 0) {
    
        $row = mysql_fetch_assoc($result);
        $filename = $row["filename"];
        $cmd = "find . -type f -name ";
    
        system(escapeshellcmd($cmd . $filename));      // Taint Sink
    
    }
?>

// GÜVENLİ KOD

<?php
    $result = mysql_query($conn, $sql);                // Taint Source (Input)
    
    if (mysql_num_rows($result) > 0) {
    
        $row = mysql_fetch_assoc($result);
        $filename = $row["filename"];
        $cmd = "find . -type f -name ";
    
        system(escapeshellcmd($cmd . $filename));      // Taint Sink
    
    }
?>

// GÜVENSİZ ÖRNEK

// ENG: Execute External Program with Arguments from Environment
// 
// TUR: Shell Ortamından Çekilen Argümanlar ile Harici Bir 
//      Program Çalıştırma

private String executeSystemCommand_Unsafe(HttpServletRequest request) throws Exception {
    String commandResult;
    
    String param = os.getEnv("CommandID");
    
    try {
        Runtime runtime = Runtime.getRuntime();
        Process subProc = runtime.exec(EXTERNAL_PROGRAM + " " + param);
        
        BufferedReader irProcOutput = new BufferedReader(new InputStreamReader(subProc.getInputStream()));

        String line = null;
        while ((line = irProcOutput.readLine()) != null)
            commandResult += line; 

        irProcOutput.close();       

    } catch (Exception ex) {
        handleExceptions(ex);
    }
    
    return commandResult;
} 

// GÜVENLİ ÖRNEK

// ENG: Execute External Program with Alphanumeric 
//      Arguments from Environment, Sanitized with Regex
//
// TUR: Regexp ile Filtrelenmiş, Environment’tan 
//      Çekilmiş Alfanümerk Argumanlar ile Harici 
//      Program Çalıştırma 

private String executeSystemCommand_Unsafe(HttpServletRequest request) throws Exception {
    String commandResult;
        
    String param = os.getEnv("arguments");
    param = param.replaceAll("[^A-Za-z0-9]", "");
    String[] programArgs = new String[] ( EXTERNAL_EXECUTABLE, param );
    
try {
        Runtime runtime = Runtime.getRuntime();
        Process subProc = runtime.exec( programArgs );
        
        BufferedReader irProcOutput = new BufferedReader(new InputStreamReader(subProc.getInputStream()));

        String line = null;
        while ((line = irProcOutput.readLine()) != null)
            commandResult += line; 

        irProcOutput.close();       

    } catch (Exception ex) {
        handleExceptions(ex);
    }
    
    return commandResult;
} 

• Kaynak kodda herhangi bir kabuk (shell) komutunu doğrudan çalıştırmak yerine API’lerin veya kütüphanelerin sunduğu çözümler tercih edilmelidir.
  
  
• Kaynak kodda eğer doğrudan kabuk (shell) komutu çalıştırmak zaruri durumda ise yalnızca dinamik girdinin dahil edilmediği statik komutlar kullanmak tercih edilmelidir.
  
  
• Tüm girdiler kaynağı neresi olursa olsun doğrulamadan geçirilmelidir. Bu doğrulama belirli yapıdaki girdileri reddetme işlemi yerine sadece belirli yapıya uyanların kabul edildiği şeklinde olmalıdır. Yani whitelist (beyaz liste) kullanılmalıdır. Siyah liste (blacklist) önlemi kullanılmamalıdır. Bir girdiyi doğrulamada şunlar kontrol edilebilir:
  
  
  • Veri türü (int, string, float, byte, ... v.b. tipte mi geliyor kontrolü)
    
    
  • Boyutu (x KB, y MB,…v.b. boyutta mı geliyor kontrolü)
    
    
  • Aralığı (Veri ölçülebilir bir sayısal değerse aralık sınırlarını aşıyor mu kontrolü)
    
    
  • Formatı (çözümlenebilir şifreli, tek yönlü şifreli, açık metin, ... v.b. biçimde mi geliyor kontrolü)
    
    
  • Beklenen Değerlerden Biri Olup Olmadığı (Whitelist’te tanımlı desenlerden biri mi geliyor kontrolü)
    
    
• Derinlikli defans (defense-in-depth) prensibi gereği gelecekte yaşanabilir ihtimaline binaen hasarı şimdiden minimize etmek için uygulamalar fuzuli işletim sistemi izinlerine sahip olmayan kısıtlı modlardaki kullanıcı hesapları kullanacak şekilde yapılandırılmalıdır.
  
  
• Eğer mümkünse en az ayrıcalık prensibi (principle of least privilege) gereği uygulama tarafından kullanılan spesifik komutlar ve dosyalar için minimum izinlere sahip, özel bir kullanıcı hesabı kullanılmalıdır ve böylece tüm işletim sistemi seviyesindeki komutlar izole edilmelidir.
  
  

• https://cwe.mitre.org/data/definitions/88.html