远程代码执行、远程命令执行、代码注入 、命令注入 、RCE区别

这里有很多不同的术语，它们的含义都略有不同：

• 远程代码执行

• 远程命令执行

• 代码注入

• 命令注入

• RCE

  
  

这些细微的差异很容易弄混，现在有一篇关于它的博客文章，明确地定义了这些差异。

命令注入是一种漏洞，允许攻击者将操作系统命令直接注入应用程序并让它们执行（可以输入到 Bash 或 Powershell 终端的命令类型）。

代码注入是一种允许攻击者将服务器端代码直接注入应用程序并使其执行的漏洞。例如，将 PHP、Python 或服务器端 JavaScript 注入 eval()。

远程代码执行是允许攻击者远程执行代码的漏洞影响，但它不是实际的漏洞本身。该漏洞不一定是代码注入漏洞，也可能是其他漏洞，例如允许攻击者上传 Web shell 的任意文件上传。

远程命令执行是允许攻击者远程执行命令的漏洞的影响，但它不是漏洞本身。同样，该漏洞不一定是命令注入漏洞，它可能是导致攻击者能够执行命令的任何漏洞。

应该注意的是，通常，如果漏洞允许远程代码执行，那么它也将允许远程命令执行，反之亦然。

RCE是一个通用术语，可以指远程代码执行或远程命令执行。换句话说，RCE 是允许攻击者远程执行代码和/或命令的漏洞的影响。

注入是一种漏洞，执行是一种影响。Command是一个 shell 命令，而code是某种类型的服务器端代码，而不是 shell 命令，例如 PHP。RCE可互换使用，表示远程（代码|命令）执行。

原文始发于微信公众号（菜鸟学安全）：远程代码执行、远程命令执行、代码注入 、命令注入 、RCE区别