在 Python 中声明文件权限时避免竞争条件

Question

应用程序想要解析并“执行”文件，并且出于安全原因想要断言该文件是可执行的。

想了一下，您意识到这个初始代码有一个竞争条件，使安全方案无效：

import os

class ExecutionError (Exception):
    pass

def execute_file(filepath):
    """Execute serialized command inside @filepath

    The file must be executable (comparable to a shell script)
    >>> execute_file(__file__)  # doctest: +ELLIPSIS
    Traceback (most recent call last):
        ...
    ExecutionError: ... (not executable)
    """
    if not os.path.exists(filepath):
        raise IOError('"%s" does not exist' % (filepath, ))
    if not os.access(filepath, os.X_OK):
        raise ExecutionError('No permission to run "%s" (not executable)' %
                filepath)

    data = open(filepath).read()

    print '"Dummy execute"'
    print data

竞争条件存在于 和 之间

os.access(filepath, os.X_OK)

，

data = open(filepath).read()

因为在这两个系统调用之间，文件有可能被不同内容的不可执行文件覆盖。

我的第一个解决方案是更改关键调用的顺序（并跳过现在冗余的存在性检查）：

fobj = open(filepath, "rb")
if not os.access(filepath, os.X_OK):
    raise ExecutionError('No permission to run "%s" (not executable)' %
            filepath)

data = fobj.read()

这是否解决了竞争条件？我怎样才能正确解决呢？

安全方案的基本原理，简要地（我认为）

该文件将能够在其内部执行任意命令 环境，因此它类似于 shell 脚本。

免费桌面上存在一个安全漏洞，其 .desktop 文件定义了 应用程序：该文件可以指定任何带有参数的可执行文件，并且 它可以选择自己的图标和名称。所以随机下载的文件可能会隐藏 在任何名称或图标后面并执行任何操作。那很糟糕。

通过要求 .desktop 文件具有可执行位解决了这个问题 设置，否则它们将不会以名称/图标和免费桌面呈现 在开始之前会询问用户是否要启动该程序。

与 Mac OS X 的非常好的设计相比：“这个程序是从网上下载的， 你确定要打开它吗？”。

所以在寓言中，你必须 chmod +x shell 您下载的脚本，我考虑了上面问题中的设计。

结束语

也许作为结论，也许我们应该保持简单：如果文件必须是可执行的，则使其可执行并让内核在用户调用时执行它。将任务委派给它所属的地方。

Answer 1

可执行性附加到您打开的文件中，没有什么可以阻止多个文件指向包含您希望读取的数据的索引节点。换句话说，可以从同一文件系统中其他地方的不可执行文件读取相同的数据。此外，即使打开文件后，您也无法阻止同一文件的可执行性发生更改，甚至可能会取消链接。

我认为您可以使用的“最大努力”是使用 os.fstat 对打开的文件进行检查，并检查前后的保护模式和修改时间，但这最多只会减少读取文件时未检测到更改的可能性。

再考虑一下，如果您是此文件中数据的原始创建者，您可以考虑编写一个从未链接到文件系统的索引节点，这是通过文件共享内存的常见技术。或者，如果所包含的数据最终必须向其他用户公开，您可以使用文件锁定，然后逐步将保护位扩展到需要它的用户。

最终，您必须确保恶意用户根本没有对该文件的写访问权限。

Answer 2

您无法完全解决此竞争条件 - 例如，在您首先打开然后检查权限的版本中，可能权限在您打开文件之后和之前就发生了更改。已经更改了权限。

如果您可以自动地将文件移动到潜在坏人无法到达的目录，那么您可以放心，在处理该文件时，该文件的任何内容都不会在您眼皮子底下被更改。如果潜在的坏人可以到达任何地方，或者您无法将文件移动到他们无法到达的地方，那么就没有防御能力。

顺便说一句，我不清楚这个方案（即使它可以发挥作用）实际上会增加任何安全性 - 当然，如果坏人可以将有毒内容放入文件中，那么他们就不会超出 chmod +x 也是这样吗？

Answer 3

您能做的最好的事情就是：

• 保存权限。
• 将其更改为您自己的唯一用户（带有程序名称的内容）并禁止其他人运行它。
• 让您检查（如果需要，检查保存的权限）。
• 运行你的进程。
• 将权限设置回已保存的权限。

当然，它也有缺点，但如果您的用例像您所说的那么简单，它就可以解决问题。

Answer 4

您应该更改文件所有权，以便攻击者无法访问它“chown root:root file_name”。执行“chmod 700 file_name”，以便其他帐户无法读取/写入/执行该文件。这完全避免了 TOCTOU 的问题，这就是人们如何防止在您的系统上拥有用户帐户的攻击者修改文件。

Answer 5

另一种方法是将文件名更改为意想不到的名称，或者甚至将整个文件（如果不是太大）复制到临时目录（必要时加密），让您进行检查，然后重命名/将文件复制回来。

当然这是一个非常繁重的过程。

但你最终会得到这样的结果，因为系统从一开始就没有设置安全性。安全程序会对他想要保证安全的数据进行签名或加密。在你的情况下，这是不可能的。

除非您确实进行了严格的加密，否则无法在您无法控制的机器上确保 100 安全。