什么是远程代码执行（RCE）攻击？-余初云

远程代码执行（RCE）攻击指的是借助系统某一层级存在的安全缺陷，向目标系统中植入并运行恶意指令。攻击者借此可在受害系统上执行各类操作——包括下达系统命令、窃取敏感信息、篡改或加密数据等。

RCE 攻击的危害有多大？

RCE 攻击带来的后果可轻可重，完全取决于它所利用的漏洞等级。最轻的情况下，一次成功的远程代码执行仅让攻击者获取目标系统及其内部数据的访问能力；而在最极端的场景中，则可能导致整台机器被彻底攻破并完全落入攻击者掌控之中。

RCE 的定义

RCE 也被称作远程代码求值，隶属于更宽泛的任意代码执行（ACE）攻击类别。它指的是借助互联网、局域网（LAN）或广域网（WAN），在目标设备或系统上从远处注入代码并加以执行的手段。这些代码能够渗透 Web 服务器或应用程序，对其实施完全操控或摧毁，植入隐蔽后门，获取、篡改乃至销毁数据，甚至部署勒索病毒等。

此类攻击的核心在于：攻击者利用了将可执行代码注入到字符串或文件中，并使其被解析器执行或求值的可能性。这通常源于用户输入未经严格校验，便被允许直接通过编程语言的解析器——而这绝非开发者的本意。被注入的代码一般采用目标应用所使用的编程语言编写，常见的有 PHP、Java、Python、Ruby 等等。

根据攻击者所利用的缺陷不同，他们在执行代码时通常会继承目标进程当前所拥有的权限。比方说，若攻击者以普通用户身份注入代码，那么他获得的也只是该用户级别的权限。正因如此，RCE 得逞之后，攻击者往往会立刻尝试提权，争取拿到管理员或 root 级别的控制权。

遗憾的是，更高的权限同样让攻击者能够更加隐蔽地掩盖入侵痕迹。不过即便没有额外的特权，远程代码执行漏洞本身也足以造成巨大破坏。

RCE 攻击带来的后果

远程代码执行攻击的后果跨度极大——从仅仅获取某个应用的访问入口，到彻底接管整个应用都有可能。其主要影响包括：

侵入应用或服务器：借助漏洞，攻击者首先能访问受影响应用中的各项功能，进而利用这些功能向底层 Web 服务器注入并运行命令。
权限提升：一旦拿到服务器的访问权并能执行命令，攻击者就有机会获取更高权限、掌控整台服务器。若服务器内部还存在其他漏洞，风险会急剧放大。
数据窃取：利用 RCE 漏洞，攻击者可以自由访问并偷取服务器上存储的各类数据。
服务瘫痪（DoS）：攻击者可通过执行特定指令，使服务器上的全部服务乃至关联服务陷入中断和崩溃。
勒索软件与数据加密：既然能在服务器上运行代码，就能部署各类恶意程序。这可能是利用服务器算力挖矿的加密劫持软件，也可能是直接让整台服务器沦陷的勒索病毒。

以上仅是 RCE 攻击可能引发的部分后果。结合具体环境和其他潜在漏洞，威胁方还可能造成更深远的破坏，这也是此类攻击极具危险性的根本原因。

远程代码执行的运作原理

实现远程代码执行的方式多种多样，因为攻击可以瞄准服务器的不同层级。其中一种典型手法是通过注入代码并夺取指令指针的控制权，从而让攻击者引导系统去执行其指定的指令或流程。

代码的注入形式和位置各有不同，但核心在于攻击者必须设法让系统”跳转”到注入的那段代码上并加以执行。这些代码可能以系统命令、脚本或其他形态存在。

本质上，以上便是 RCE 攻击的执行逻辑。具体的攻击手法、入侵路径以及执行精度会因场景而异。

常见的 RCE 攻击类型

以下是几种最普遍的远程代码执行攻击及其基本场景：

类型混淆（Type Confusion）

这类漏洞指的是：某个对象、资源或变量在分配时被赋予了一种数据类型，但后续却以另一种不同的类型来访问它。由于访问时的类型与资源实际的类型和属性不匹配，就会引发错误乃至逻辑失控。

攻击者正是利用这一缺陷，将恶意代码嵌入到”以一种指针类型分配、却以另一种指针类型读取”的对象中。最终，第二种指针会触发被植入的代码。例如，某些 SQL 注入漏洞的成因就与类型混淆有关。

反序列化漏洞

数据在网络中传输时会被序列化，即转化为二进制格式；到达目的地后再反序列化，还原为可使用的对象。攻击者可以通过精心构造用户输入，制造出一个特殊对象——一旦被反序列化，就会转变为可执行的动态代码。

缓冲区溢出与越界读取

缓冲区溢出也叫越界写入或缓冲区超限，与越界读取一起，属于与内存缓冲区相关的内存安全缺陷。缓冲区的作用是在数据转移过程中临时存放数据，应用程序经常用它来存储包括用户输入在内的各类数据。

对于缓冲区溢出，攻击者会利用有缺陷的内存分配机制——比如缺少边界校验——将数据写入缓冲区范围之外，覆盖相邻内存区域中的内容。这种覆盖可能损坏关键数据、导致程序崩溃，或借由指令指针的安全漏洞触发 RCE。

而在越界读取的场景中，数据的读取范围超出了缓冲区边界，侵入了相邻分区中存储的内存，同样可能被利用来达成远程代码执行。

典型 RCE 攻击案例

历史上一些影响重大且危害极深的漏洞，都与 RCE 密切相关。

Log4J RCE 漏洞（Log4Shell / CVE-2021-44228）

Log4Shell 是 Java 日志框架 Log4j 中存在的一个远程代码执行漏洞，据估计影响了全球数百万台设备，被称为”有史以来最大、最严重的安全漏洞”。该缺陷自 2013 年起便已存在，直到 2021 年 11 月才被外界知晓，同年 12 月正式公开披露。

这个漏洞允许攻击者在服务器上执行任意 Java 代码，为加密挖矿、构建僵尸网络以及植入勒索软件大开方便之门。

WannaCry 勒索蠕虫

WannaCry 是一种勒索病毒加密蠕虫，它利用了名为 EternalBlue（永恒之蓝）的 RCE 漏洞，借此部署 DoublePulsar 工具来安装并运行自身程序。此次攻击的目标是微软 Windows 系统。感染后，蠕虫会对数据进行加密，随后向受害者索要赎金。

永恒之蓝攻击的是微软 SMB（服务器消息块）协议中的一个安全缺陷，该缺陷允许攻击者远程注入并执行代码。

以上只是两个最具代表性的 RCE 漏洞及其催生的攻击事件。在 CVE（通用漏洞与暴露）系统中，会定期收录可能引发 RCE 攻击的新漏洞条目。

如何检测与防范远程代码执行

RCE 攻击之所以构成严重威胁，是因为其手法多样、可利用的漏洞面广，而且新漏洞层出不穷，让防御工作充满挑战。但仍有多种手段可以用来检测和抵御 RCE 攻击：

防范措施	具体说明
及时安全更新	许多组织未能跟进最新威胁情报、延迟应用补丁，这给了攻击者可乘之机。系统和软件一旦有更新可用，应立即部署，这是阻挡大量攻击者最有效的手段之一。
持续监控	对网络流量和终端进行实时监控，识别可疑行为并拦截利用尝试。可通过部署网络安全方案或威胁检测软件来实现。
代码安全检测	在编码阶段借助静态代码分析，提前发现常见安全缺陷，从源头消除潜在风险。
内存安全防护	部署缓冲区溢出防护及其他内存管理机制，避免产生可被利用的漏洞。例如，当检测到缓冲区溢出时直接终止程序运行，从根本上杜绝恶意代码执行的可能。边界校验与内存标记也是可采用的额外防护技术。