I payload OS sono input costruiti appositamente per influenzare il modo in cui un comando del sistema operativo viene analizzato o eseguito. Sono uno strumento comune nei test di command injection perché cercano di trasformare dati ordinari in sintassi: separatori, flag, virgolette o altri metacaratteri che modificano il comportamento della shell o del parser di comandi.
Nella sicurezza informatica, i payload OS sono importanti perché mettono in evidenza i punti in cui le applicazioni superano il confine tra dati e codice. Se un programma costruisce stringhe di comando a partire da input non attendibili, un attaccante può alterare il comportamento del comando, iniettare argomenti aggiuntivi o attivare azioni di sistema non previste. I difensori cercano questo rischio nei punti di esecuzione dei comandi e nel codice di avvio dei processi, poi lo riducono evitando la shell, passando separatamente argomenti fissi, convalidando gli input ed eseguendo con il minimo privilegio. Se gestiti correttamente, i payload OS sono utili per i test; se gestiti in modo improprio, possono diventare un percorso per l'esecuzione non autorizzata di comandi.