如何避免 Jenkins shell 调用中的代码注入？

Question

考虑以下代码，它使用一些参数调用程序 (echo)：

String malicious_input = '""; rm -rf / #yikes'
sh "echo Hello ${malicious_input}!"

生成的 shell 脚本是

echo Hello ""; rm -rf / #yikes!

简单、经典的代码注入。没有什么闻所未闻的。我一直在努力寻找妥善处理此案的方法。解决此问题的第一种方法是：

• 只需在 shell 调用中的字符串周围添加单引号，例如 sh "echo Hello '${malicious_input}'!"。是的，但不是，我只需要切换到 malicious_input = "'; rm -rf / #yikes" 即可避免这种情况。
• 那么只需添加双引号即可！仍然不，这些不仅很容易规避，而且甚至容易发生路径通配/扩展。
• 然后在调用 Groovy 字符串插值之前在输入字符串周围添加引号。同样的事情，shell 命令行没有改变。
• 然后，添加单引号，但在字符串内的每个单引号前面加上反斜杠，以防止 shell 将其解释为元字符。是的，如果我也用第二个反斜杠来转义每个现有的反斜杠，那么这种方法就有效。尽管如此，如何防止这种扩展的细节在一定程度上取决于 shell（POSIX-ish、Windows bat，不确定 powershell）。此外，每个参数都需要三行代码。另外，如果没有明确的 shebang 行，我什至无法确定使用的是哪个 shell。

所以，我的问题是：Groovy 中以可移植、与 shell 无关的方式为我执行此操作的内置函数在哪里？我很难相信这不存在，但我找不到它。另外，我是第一个遇到这个问题的人，这让我很困惑......

Answer 1

您所描述的称为参数注入，引用为CWE-88 是命令注入的子类，引用为 CWE-77：

这些 CWE 中描述的一些潜在缓解措施包括：

• 如果可能，请使用库调用而不是外部进程来重新创建所需的功能。
• （参数化）尽可能避免构建包含命令及其参数的单个字符串。
• （输入验证）假设所有输入都是恶意的。使用“接受已知良好”的输入验证策略，即使用严格符合规范的可接受输入列表。拒绝任何不严格符合规范的输入，或将其转换为严格符合规范的内容。

你的问题的答案：

Groovy 中以可移植、与 shell 无关的方式为我执行此操作的内置函数在哪里？

是： 没有这样的内置 Groovy 函数。

您应该做的是：

1. 尽可能避免使用带有用户输入数据的 shell 脚本，而改用 Groovy 函数。
2. 通过仅允许字母数字字符来使用输入验证。
3. 使用如何防止通过命令选项进行命令注入？ 。这是不太安全的选项，因为 sh Jenkins 命令使用系统默认 shell（可以是任何东西），并且不能 100% 保证不存在绕过此引用的技巧。