<strong>Inyección Remota de Comandos OS</strong> como podemos atacar este tipo de inyecciones? es decir, como ejemplificar a un desarroll...

Los comandos OS son lo que se usan en las terminales (o algunos las conocen como shell), aunque estos comandos no son los usados en xss, SQLi, etc... Estos tipos de ataques anteriores pueden conducir a inyección de comandos OS. Normalmente se les conoce como RCE (remote code execution)

Unos ejemplos de comandos OS (para linux) serian: ls cat pwd cd

Teniendo esto presente te respondo la pregunta: Puedes demostrar esa vulnerabilidad inyectando un "ls" al servidor y mostrando el resultado, el cual si la vulnerabilidad existe debería mostrar las carpetas y archivos alojados en el servidor. También pueden haber RCE blind, en este caso existe la inyección pero no se muestra el resultado así que para demostrar la vulnerabilidad puedes inyectar un "ping" a un host local (por ejemplo 127.0.0.1) pero que la respuesta de este ping se demore 10 segundos en llegar, la respuesta del servidor entonces se demorará lo que el comando se demore en procesar.

Las inyecciones de código son simples lineas de código(por ejemplo: consultas SQL, Scripts, etc) que pueden introducirse en formularios o determinados campos, cuando no se impide la entrada de determinados caracteres específicos de un lenguaje y se procesan como código. Creo que tenías un poco difuso el concepto de inyecciones. Saludos.