模拟智能灯泡场景中代码注入攻击失败的问题排查求助

核心问题：找错了注入类型 #

你尝试的是Python代码注入（比如试图操作bulb_state变量），但当前代码的风险点是Shell命令注入，二者完全不同，这是所有尝试失败的根本原因。

代码风险点分析 #

处理提交请求的Python代码段中，关键漏洞在这里：

os.system(f"echo Setting color to {color}")

• os.system()会调用系统Shell执行传入的命令字符串
• color参数直接通过f-string拼接到命令中，没有任何转义或过滤，属于典型的Shell命令注入漏洞
• 注意：它只会执行Shell命令，不会解析或执行Python代码

你的尝试无效的原因 #

你使用的payload（比如red"])、red} and {bulb_state["brightness"]}）都是Python语法相关内容，这些内容在Shell命令里只是普通字符串，不会被当作代码执行，自然无法达到预期效果。

另外，bulb_state["color"] = color只是将输入的字符串原样存储，后续获取状态返回的也是该字符串，不会解析其中的Python代码，所以针对bulb_state的注入尝试也不可能生效。

正确的Shell命令注入Payload示例 #

针对os.system的漏洞，你可以使用Shell语法的payload来执行额外命令：

• 执行多命令：输入red; whoami，实际执行的Shell命令是echo Setting color to red; whoami，会先打印颜色信息，再输出当前用户名
• 条件执行：输入red && cat /etc/passwd，如果echo命令执行成功，就会读取并输出系统用户配置文件
• 命令替换：输入red $(touch /tmp/hacked)，会在/tmp目录下创建一个名为hacked的文件

关于前端颜色显示的补充 #

如果你的目标是修改灯泡显示的内容或颜色，除了命令注入，还可以尝试输入tkinter支持的特殊颜色值（比如十六进制#FF0000），但这不属于代码注入范畴。若要实现代码执行，还是要针对os.system的Shell命令注入漏洞下手。

内容的提问来源于stack exchange，提问作者Nathan Rasmussen