在 Ruby 中形成卫生 shell 命令或系统调用

Question

我正在构建一个守护进程来帮助我管理我的服务器。 Webmin 工作得很好，就像打开服务器的 shell 一样，但我更希望能够从我设计的 UI 控制服务器操作，并向最终用户公开一些功能。

守护进程将从队列中选取操作并执行它们。但是，由于我将接受用户的输入，因此我想确保他们不允许将危险的东西注入特权 shell 命令中。

这是一个说明我的问题的片段：

def perform
  system "usermod -p #{@options['shadow']} #{@options['username']}"
end

解释更多的要点： https://gist.github.com/773292

我如果典型的转义和清理输入足以满足这种情况，那么情况并不乐观，并且作为一名设计师，我没有大量与安全相关的经验。 我知道这对我来说可能是显而易见的，但事实并非如此！

如何确保将创建和序列化操作的 Web 应用程序无法将危险文本传递到接收操作的特权进程中？

感谢您的帮助
套利

Answer 1

看起来您不需要外壳来完成您正在做的事情。请参阅此处的 system 文档：http://ruby -doc.org/core/classes/Kernel.html#M001441

您应该使用 system 的第二种形式。上面的示例将变成：

system 'usermod', '-p', @options['shadow'], @options['username']

更好的（IMO）编写方式是：

system *%W(usermod -p #{@options['shadow']} #{@options['username']})

这种方式的参数直接传递到 execve 调用中，因此您不必担心偷偷摸摸的 shell 技巧。

Answer 2

如果您不仅需要退出状态，还需要结果，您可能想使用 Open3.popen3：

require 'open3'
stdin, stdout, stderr = Open3.popen3('usermod', '-p', @options['shadow'], @options['username'])
stdout.gets
sterr.gets

更多信息请参见：获取 Ruby 中 system() 调用的输出

Answer 3

我建议研究“shellwords”模块。该脚本：

require 'shellwords'
parts = ['echo', "'hello world'; !%& some stuff", 'and another argument']
command = Shellwords.shelljoin( parts )
puts command
output = `#{ command }`
puts output

输出转义文本和预期输出：

echo \'hello\ world\'\;\ \!\%\&\ some\ stuff and\ another\ argument
'hello world'; !%& some stuff and another argument

Answer 4

这是一个老问题，但由于它几乎是您在谷歌搜索时找到的唯一真正答案，我想我应该添加一个警告。系统的多参数版本在 Linux 上似乎相当安全，但在 Windows 上却不是。

尝试系统“dir”、“&”、“echo”、“hi！”
在 Windows 系统上。 dir 和 echo 都将运行。当然，Echo 也可能是一种远没有那么无害的东西。

Answer 5

我知道这是一个旧线程，但还有另一个选项被 Simon Hürlimann 轻轻提及。

关于这个主题的信息并不多，我认为这可能会帮助其他有需要的人。

在此示例中，我们将使用 Open3，它使您能够同步或异步运行命令，并提供 stdout、stderr、退出代码和PID。

Open3 允许您访问 stdout、stderr、退出代码以及在运行另一个程序时等待子进程的线程。您可以使用与 Process.spawn 相同的方式指定程序的各种属性、重定向、当前目录等。 （来源：Open3 文档 ）

我选择将输出格式化为 CommandStatus 对象。其中包含我们的 stdout、stderr、pid（工作线程的）和 exitstatus。

class Command
  require 'open3'

  class CommandStatus
    @stdout     = nil
    @stderr     = nil
    @pid        = nil
    @exitstatus = nil

    def initialize(stdout, stderr, process)
      @stdout     = stdout
      @stderr     = stderr
      @pid        = process.pid
      @exitstatus = process.exitstatus
    end

    def stdout
      @stdout
    end

    def stderr
      @stderr
    end

    def exit_status
      @exitstatus
    end

    def pid
      @pid
    end
  end

  def self.execute(command)
    command_stdout = nil
    command_stderr = nil
    process = Open3.popen3(ENV, command + ';') do |stdin, stdout, stderr, thread|
      stdin.close
      stdout_buffer   = stdout.read
      stderr_buffer   = stderr.read
      command_stdout  = stdout_buffer if stdout_buffer.length > 0
      command_stderr  = stderr_buffer if stderr_buffer.length > 0
      thread.value # Wait for Process::Status object to be returned
    end
    return CommandStatus.new(command_stdout, command_stderr, process)
  end
end


cmd = Command::execute("echo {1..10}")

puts "STDOUT: #{cmd.stdout}"
puts "STDERR: #{cmd.stderr}"
puts "EXIT: #{cmd.exit_status}"

在读取 STDOUT/ERR 缓冲区时，如果 stdout_buffer.length > 则使用 command_stdout = stdout_buffer 0 来控制是否分配 command_stdout 变量。当不存在数据时，您应该传递 nil 而不是 ""。后面交数据的时候就更清楚了。

您可能注意到我使用了command + ';'。其原因基于 Kernel.exec 的文档（这是 popen3 使用的）：

如果第一种形式 (exec("command")) 中的字符串遵循这些
简单规则：

• 没有元字符
• 没有 shell 保留字，也没有特殊的内置
• Ruby 无需 shell 即可直接调用命令

您可以通过添加“;”来强制调用 shell到字符串（因为
“;”是元字符）

这只是防止 Ruby 在您传递格式错误的命令时抛出 'spawn': No such file or directory 错误。相反，它会将其直接传递到内核，错误将在内核中得到妥善解决并显示为 STDERR 而不是未捕获的异常。

Answer 6

现代、安全且简单的解决方案（popen 将为您转义参数）：（

IO.popen(['usermod', '-p', @options['shadow'], @options['username']]).read

#read 将在返回之前关闭 IO）