某甲方系统被拖库，何防事后排查发现攻击者只靠一个`ping`参数就拿了内网root权限。御命那个字段原本只该接收IP地址，令执开发图省事直接拼进了shell命令。行漏这种漏洞不挑语言，何防Java、御命PHP、令执Python、行漏Go全跑不掉——本质就一句话：**程序把用户输入当成了代码执行**。何防
防御的御命第一道闸门是白名单验证。别信黑名单，令执那玩意儿跟纸糊的行漏差不多。`;`、何防`|`、御命`&&`这些符号你滤得完吗？令执攻击者用换行符、tab、甚至`$IFS`变量就能绕过去。老老实实规定输入格式，IP就只匹配`\d{ 1,3}\.\d{ 1,3}\.\d{ 1,3}\.\d{ 1,3}`，不符合直接拒绝，连进业务逻辑的机会都不给。
但光靠正则不够。很多场景没法限定格式，比如搜索功能要传任意字符串。这时候必须用**参数化命令**——把命令和参数拆开传。PHP的`escapeshellarg()`、Python的`subprocess.run(["ls", "-l", user_input])`、Java的`ProcessBuilder`，都是让系统把输入当纯数据，而不是拼进shell语法。我见过太多人用了这些函数却依然中招，原因是没注意某些语言的`shell=True`默认参数——那等于亲手把门又打开了。
还有个隐蔽陷阱是环境依赖。同样的代码在Windows和Linux上行为不同，`cmd.exe`的解析规则和`bash`差了十万八千里。你测试时用Linux通过，上了Windows服务器就崩。防御方案必须写清楚目标平台，别指望一套代码通吃。我认识一个白帽子，专挑跨平台项目打，一打一个准。
说到这得提权限最小化。就算命令执行了，容器里跑着root照样完蛋。Web服务用专用低权限账号，`sudo`规则收紧到单条命令。很多年前有个著名案例：某站被插了`cat /etc/passwd`，但因为Web进程是nobody用户，攻击者折腾半天只能读到公开信息——这就是纵深防御的价值。
别忘了**隔离运行时**。Docker容器不是万能的，但至少能限制文件系统访问。更狠的做法是用seccomp禁用`execve`系统调用——当然这影响业务功能，得权衡。有个取巧的办法：把需要执行命令的功能单独做成微服务，跑在独立容器里，主应用完全不碰shell。
最后说个冷门但致命的点：**日志里的命令注入**。你以为过滤了所有用户输入，结果把请求日志写进文件时，日志里的换行符和特殊字符被后续脚本读取执行了。这属于二次注入，防御方法是日志输出前做编码，或者干脆用JSON格式存储。
你可能会问，这些措施全上是不是太夸张？我见过最讽刺的案例：某金融公司安全团队做了完美防护，结果运维为了方便排错，在管理后台留了个“执行诊断命令”的隐藏接口，没做任何鉴权。所以，**别忘检查内部系统**，堡垒往往从内部被攻破。
防御没有银弹，但把白名单、参数化、低权限、隔离、日志清洗这五件事做扎实，攻击者想打进来得脱层皮。剩下的，就交给持续代码审计和渗透测试——毕竟漏洞这东西，跟细菌一样，杀不完，但能控制在不致命的水平。