Как сделать правильный оператор инъекции кода для симуляции? ⇐ Html

[Anonymous]

В настоящее время я работаю в групповом проекте, где мы моделируем атаку впрыскивания кода на моделируемом интеллектуальном устройстве, в частности, лампочка. То, как это работает, использует HTML-страницу со следующим кодом текстового поля в ней: < /p>


< /code>
Когда нажимает, называется следующая функция: < /p>
color = request.args.get('color')
bulb_state["color"] = color
os.system(f"echo Setting color to {color}")
return f"Color set to : {color}"
< /code>
После этого моделируемая умная лампа имеет функцию для обновления цвета, как показано в состоянии цветовой луковицы: < /p>
r = requests.get("http://127.0.0.1:5000/get_state")
if r.status_code == 200:
state = r.json()
bulb_label.config(fg=state["color"])
brightness = state["brightness"] / 100
bulb_label.config(text=f" {state['brightness']}%")
< /code>
Из этого я попробовал пару различных методов для введения кода в разные точки программы. Всякий раз, когда я пытаюсь ввести заявление в код, он, кажется, терпит неудачу. Большинство моих попыток до сих пор были похожи на: < /p>
> red"])#
> red} and {bulb_state["brightness"]}
> red}")#
< /code>
, где я пытался распечатать цветовую строку по -разному или считал как цвет как законным, несмотря на добавленный код в конце. Однако ни одна из моих попыток не сработала, и я верю, что я что -то упускаю. Существует ли часть программы, которая защищает от атак в инъекциях кода, или я отправляю неправильную инъекцию кода? Я пытаюсь понять, где может возникнуть проблема, поэтому я могу внести необходимые изменения, которые я должен. Любая помощь ценится по этому!


Подробнее здесь: https://stackoverflow.com/questions/795 ... simulation