En una inyección de comando engaña a un servicio para que haga algo por usted que normalmente no haría. ¿Significa eso que las inyecciones de comandos son ejemplos de (explotar) agentes confusos? ¿Lo contrario también es válido?
Más generalmente, ¿la inyección de comandos y los diputados confundidos son dos caras de la misma moneda o su relación es más complicada?
Un diputado confundido es una preocupación sobre qué entidad debería tener el control, que es un problema de autorización y control de acceso. Este es un problema de confiabilidad y verificación de la intención. Vulnerabilidades como; La falsificación de solicitudes del lado del servidor (SSRF), la falsificación de solicitudes del lado del cliente (CSRF) y la referencia de objetos directa insegura (IDOR) se incluyen en esta categoría.
Los ataques de inyección son causados por la confusión entre lo que son los datos y lo que es el código. Una inyección es un tipo de vulnerabilidad que se puede usar para socavar los sistemas de control de acceso, ya que un servidor comprometido se convierte en un tipo de agente confuso que es útil en el giro y la explotación (encadenamiento de ataques). Pero este no es el único caso, podría tener una vulnerabilidad de inyección de código en un entorno de espacio aislado, que no es una entidad confiable, pero que aún podría usarse para abusos, como la extracción de bitcoin.
Los ataques de inyección son más o menos independientes de los diputados confundidos, pero se podría usar una inyección para tomar el control de una entidad confiable. Hay muchas maneras en que un atacante puede confundir a un diputado.
Lea otras preguntas en las etiquetas terminology injection confused-deputy