什么是远程代码执行？
远程代码执行 (RCE) 攻击是指攻击者可以在一个组织的计算机或网络上运行恶意代码。执行攻击者控制的代码的能力可用于各种目的，包括部署额外的恶意软件或窃取敏感数据。
远程代码执行 (RCE) 攻击的工作原理
远程代码执行攻击通常通过网络应用程序和网络基础结构的漏洞发生。
远程代码执行漏洞是软件中的缺陷，允许攻击者在目标系统上运行恶意代码。RCE 可以利用几种类型的漏洞，包括以下例子：
- 注入漏洞：注入漏洞 — 如 SQL 注入或命令注入 — 是通过不良的输入消毒来实现的。如果用户提供一个精心设计的恶意输入，则其提供的一些数据将被解释为要运行的命令。这使得攻击者可以强迫有漏洞的系统执行攻击者提供的代码。
- 不安全的反序列化：序列化通过将数据集打包成单一的由接收方系统解包的位串，简化了数据集的传输。然而，如果序列化数据的结构没有得到很好的定义，攻击者可能可以制定一个解包时会被误解的输入。根据数据的存储和处理方式，这种误读可能会使攻击者能够实现代码执行。
- 越界写入：缓冲区是一块被分配用来存储数据的固定大小的内存。不安全的数据读取或写入可能允许攻击者将数据放在会被解释为代码或应用程序的重要控制流信息的地方。
- 文件管理：有些应用程序允许用户向服务器上传文件。这种访问可能允许攻击者上传一个包含恶意代码的文件，并欺骗应用程序执行该代码。
恶意软件是攻击者提供的被设计为在目标系统上执行的代码。RCE 漏洞会允许攻击者以不同方式部署恶意软件。
因此，RCE 漏洞可以用来实现许多与传统恶意软件相同的目标。RCE 可用于在有漏洞的系统上部署恶意软件、进行拒绝服务 (DoS) 攻击，或访问存储在系统中的敏感信息。
攻击者如何使用 RCE
远程代码执行的危险性在于它可以运行恶意代码，这为攻击者提供了多种选择。RCE 漏洞可以用于通过以下方式进一步进行普通攻击：
- 远程访问：攻击者经常利用 RCE 漏洞在企业网络上获得一个最初的立足点，然后再扩展。例如，一个 RCE 漏洞可以让攻击者窃取登录凭证，从而允许他们通过 VPN 进行网络访问。
- 恶意软件部署：虽然 RCE 漏洞运行代码执行，但这种代码的范围可能是有限的。为了避开这一限制，攻击者可能利用 RCE 下载并执行其他更具破坏性的恶意软件。例如，RCE 可以用来在一个有漏洞的系统上下载和执行勒索软件。
- 数据盗窃：RCE 漏洞可能允许攻击者在有漏洞的应用程序中运行命令。这使攻击者能够访问文件系统、数据库和存储的其他敏感的公司和客户数据。
- 数据破坏：RCE 漏洞可能允许攻击者在数据库中运行 DROP 命令，或在系统终端中执行代码。这种访问提供了与合法用户相同的删除文件的能力
- DoS 攻击：越界写入漏洞允许攻击者覆盖关键代码，使应用程序崩溃。其他 RCE 漏洞可能允许终止进程或删除重要数据。
如何预防远程代码执行
远程代码执行攻击是因为企业网络应用程序中有漏洞。公司可以通过以下方法来减少发生 RCE 攻击的几率：
- 漏洞扫描：静态代码分析（以识别众所周知的漏洞模式）和动态分析（如模糊分析）的结合，可以帮助开发人员在 RCE 漏洞被利用之前识别和纠正这些漏洞。
- 更新和打补丁：可能在一个应用程序或其依赖的第三方库中发现 RCE 漏洞。及时应用更新和补丁可以缩短有漏洞的代码被利用的窗口时间。
- 输入验证：多数 RCE 漏洞涉及不良的输入验证，即应用程序对用户提供的数据做出假设。强有力的输入验证可以消除大多数 RCE 漏洞的威胁。
- 网络监控：尝试性的 RCE 攻击可以被网络应用程序和 API 保护 (WAAP) 解决方案检测并阻止。在网络应用程序前部署网络安全解决方案可以减少未修补漏洞的潜在风险。
用 Cloudflare One 防止 RCE
随着网络应用程序越来越多地移交给云托管，保护它们免受攻击变得更加困难。Cloudflare 网络应用程序防火墙可以使用大规模的全球威胁情报阵列来阻止远程代码执行。
此外，Cloudflare One — Cloudflare 的安全访问服务边缘 (SASE) 平台 — 可以为内部企业应用程序提供强大的安全保护和监控。