这些 tcl 错误是否表明代码不安全？

Question

我正在对具有嵌入式 TCL 解释器的系统进行安全测试。该系统接收来自互联网 (HTTP) 的输入，对其进行解析并传递给可定制的 TCL 脚本。在模糊测试期间（在 HTTP 标头中发送二进制垃圾），我注意到日志中存在以下错误：

TCL 错误：执行“foreach header [ XXXXX ] { }”时，引号中的列表元素后跟“{}x”而不是空格

空格

TCL 错误：执行“foreach header [ XXXXX ] {}”时列表中出现不匹配的左引号

这里 XXXXX 是返回由系统解析的 HTTP 标头数组的命令。很抱歉混淆了真正的命令，我希望您理解，在供应商收到有关问题的通知（如果事实证明这是一个问题）之前，我不想公开太多细节。

产生错误的 TCL 代码非常简单：

foreach 标头 [ XXXXX ] { }

据我所知，HTTP 解析是在 TCL 之外完成的，解析后的值可以通过自定义命令（可能作为 TCL 扩展实现）供 TCL 访问。

所以我的问题是：

1. 这些错误是否表明系统存在安全问题，例如用户输入验证不足？

2. 如果是，是否可以利用此条件通过发送系统特制请求（一种 代码注入攻击？

3. 是否有“安全 TCL 编码实践”文档？我找不到任何内容。

Answer 1

您在 comp.lang.tcl 上提出了这个问题，我在其中回复：

1) 这些错误是否表明存在安全问题
系统，例如用户输入验证不足？

它们表明解析代码中存在问题。我猜想
该代码假设它可以假设标头是格式良好的
Tcl 列表，您发现它完全不安全。消毒是为了
使用类似这样的内容：

set listOfWords [regexp -all -inline {\S+} $someString] 

生成的单词集合保证是一个格式良好的
列表，用于任意输入字符串。

2) 如果是，是否可以利用此条件执行任意 TCL
通过发送系统特制的请求来声明，一种
http://en.wikipedia.org/wiki/Code_injection 攻击？

可能不会，除非您将该列表视为代码。

3) 是否有“安全 TCL 编码实践”文档？任何其他
有关如何安全处理不可信数据的信息来源？

最简单的方法是在安全解释器中进行解析：

interp create -safe parsingInterp 
parsingInterp eval { make the procedures } 
parsingInterp eval [list doTheParse $stringToParse] 

请注意，我们还保证构造的列表（例如，那些不在
list 以及除此之外的许多其他命令）都是 eval-safe。也就是说：

eval [list $a $b $c] 

完全等于：

$a $b $c 

无论这些变量中的内容是什么，都是如此。