Làm thế nào tôi có thể đảm bảo một cách an toàn một biến chỉ chứa một tên tệp hợp lệ?

Đưa ra tập lệnh bên dưới, làm cách nào tôi có thể đảm bảo rằng đối số chỉ chứa tên tệp hợp lệ bên trong /home/charlesingalls/chứ không phải đường dẫn ( ../home/carolineingalls/) hoặc ký tự đại diện, v.v.?

Tôi chỉ muốn tập lệnh có thể xóa một tập tin từ thư mục được mã hóa cứng. Kịch bản này sẽ chạy như một người dùng đặc quyền.

#!/bin/bash

rm -f /home/charlesingalls/"$1"

Nếu bạn chỉ muốn xóa một tệp trong /home/charlesingalls(chứ không phải một tệp trong thư mục con) thì thật dễ dàng: chỉ cần kiểm tra xem đối số không chứa a /.

case "$1" in
  */*) echo 1>&2 "Refusing to remove a file in another directory"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Điều này chạy rmngay cả khi đối số là .hoặc ..trống, nhưng trong trường hợp đó rmsẽ vô tình không thể xóa một thư mục.

Ký tự đại diện không liên quan ở đây vì không có mở rộng ký tự đại diện được thực hiện.

Điều này an toàn ngay cả khi có các liên kết tượng trưng: nếu tệp là liên kết tượng trưng, ​​liên kết tượng trưng (nằm trong /home/charlesingalls) sẽ bị xóa và mục tiêu của liên kết đó không bị ảnh hưởng.

Lưu ý rằng điều này giả định rằng /home/charlesingallskhông thể di chuyển hoặc thay đổi. Điều đó sẽ ổn nếu thư mục được mã hóa cứng trong tập lệnh, nhưng nếu nó được xác định từ các biến thì việc xác định có thể không còn hiệu lực theo thời gian rmlệnh chạy.

Dựa trên thông tin bổ sung rằng đối số là tên máy chủ ảo, bạn nên thực hiện danh sách trắng thay vì đưa vào danh sách đen: kiểm tra xem tên đó có phải là tên máy chủ ảo hợp lý không, thay vì chỉ cấm các dấu gạch chéo. Tôi kiểm tra xem tên bắt đầu bằng chữ cái thường hay chữ số và nó không chứa các ký tự khác với chữ cái thường, chữ số, dấu chấm và dấu gạch ngang.

LC_CTYPE=C LC_COLLATE=C
case "$1" in
  *[!-.0-9a-z]*|[!0-9a-z]*) echo >&2 "Invalid host name"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Câu trả lời này giả định rằng $1được phép bao gồm các thư mục con. Nếu bạn quan tâm đến trường hợp đơn giản hơn $1là tên thư mục đơn giản, thì hãy xem một trong những câu trả lời khác.

Ký tự đại diện không được mở rộng khi trong dấu ngoặc kép. Vì $1là trong dấu ngoặc kép, ký tự đại diện không phải là vấn đề.

Cả hai ../và liên kết tượng trưng có thể che khuất vị trí thực sự của một tập tin. Dưới đây là các thử nghiệm để xác định xem tập tin có thực sự, không chỉ là dường như, theo con đường chúng ta muốn.

Hệ thống mới hơn: sử dụng realpath

Đối với việc tìm hiểu xem tập tin có thực sự nếu tập tin thực sự nằm dưới /home/charlesingalls/hay không, bạn có thể sử dụng realpath:

realpath --relative-base=/home/charlesingalls/ "/home/charlesingalls/$1"  | grep -q '^/' && exit 1

Ở trên chạy exit 1nếu tập tin được chỉ định bởi $1bất cứ nơi nào khác ngoài thư mục /home/charlesingalls/. realpathchuẩn hóa toàn bộ đường dẫn, loại bỏ cả symlink và ../.

realpath là một phần của lõi GNU và nên có sẵn trên bất kỳ hệ thống Linux nào.

realpathyêu cầu GNU coreutils 8.15 (tháng 1 năm 2012) hoặc tốt hơn .

Ví dụ

Để giải thích cách realpath theo sau ../để xác định vị trí thực của tệp (ví dụ: -qtùy chọn grep được bỏ qua để hiển thị đầu ra thực tế của grep):

$ touch /tmp/test
$ realpath --relative-base=$HOME "$HOME/../../tmp/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Để chứng minh làm thế nào nó theo symlink:

$ ln -s /tmp/test ~/test
$ realpath --relative-base=$HOME "$HOME/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Hệ thống cũ hơn: sử dụng readlink -e

readlinkcũng có khả năng cấu hình hóa một đường dẫn, theo cả hai liên kết tượng trưng và ../:

readlink -e "$HOME/test" | grep -q "^$HOME" || exit 1

Sử dụng cùng một tệp ví dụ:

$ readlink -e "$HOME/../../tmp/test" | grep "$HOME" || echo FAIL
FAIL
$ readlink -e "$HOME/test" | grep "^$HOME" || echo FAIL
FAIL

Ngoài việc có sẵn trên các hệ thống GNU cũ hơn, các phiên bản readlinkcó sẵn trên BSD.

Nếu bạn muốn cấm hoàn toàn các đường dẫn, cách đơn giản nhất là kiểm tra xem biến có chứa dấu gạch chéo ( /) không. Trong bash:

if [[ "$1" = */* ]] ; then...

Điều này sẽ chặn tất cả các đường dẫn, mặc dù, bao gồm foo/bar. Bạn có thể kiểm tra ..thay thế, nhưng điều đó sẽ để lại khả năng các liên kết tượng trưng trỏ đến các thư mục bên ngoài đường dẫn đích.

Nếu bạn chỉ muốn cho phép xóa một tệp duy nhất, tôi không nghĩ bạn nên sử dụng rm -r.

Ngoài ra, tùy thuộc vào những gì bạn đang làm, bạn có thể sử dụng quyền truy cập tệp của hệ thống để chỉ cho phép xóa các tệp mà người dùng có thể tự xóa. Một cái gì đó như thế này:

su charlesingalls -c "rm /home/charlesingalls/'$1'"

Mặc dù như @Gilles đã nhận xét, nhưng điều này có một vấn đề trích dẫn: nó sẽ thất bại nếu $1chứa một trích dẫn duy nhất, do đó, biến này phải được kiểm tra trước đó (ví dụ if [[ "$1" = *\'* ]] ; then fail...hoặc bằng cách đưa vào danh sách các ký tự hợp lý) hoặc tên tệp được chuyển qua một biến môi trường với vd

file="$1" su charlesingalls -c 'rm "/home/charlesingalls/$file"'