命令注入是指攻击者恶意地将系统命令注入Web应用的用户输入字段以操纵和破坏底层操作系统（OS）的一种攻击方法。 通过在常规用户输入中嵌入非预期的命令序列，攻击者可以获得未经授权的操作系统级控制，从而导致严重后果，包括敏感信息泄露、系统文件的更改或删除、恶意软件感染（例如病毒）或被利用作为对其他系统发起进一步网络攻击的平台。
考虑以下示例：脚本执行由用户输入的电子邮件地址触发的命令“/usr/sbin/sendmail user@f5.com”。 如果攻击者提供恶意输入，例如“user@f5.com; rm -rf /”，则此命令可能会执行不必要的系统级操作 - 在此示例中，递归删除服务器根目录上的文件。
为了防止命令注入攻击，应用必须严格清理或过滤用户提供的输入 - 删除或消除任何提供有害字符或命令的尝试。 然而，对所有 Web应用进行全面且一致的输入清理存在很大的困难。 解决此安全威胁的有效方法是部署 Web应用防火墙 (WAF) 技术，该技术专门用于验证和清理用户输入并阻止恶意负载。
F5 通过其F5 BIG-IP产品线提供强大的 WAF 功能，可防止命令注入和其他复杂的 Web应用攻击。