如何避免命令注入-常见问题-PHP中文网

如何避免命令注入

月夜之吻

发布： 2024-12-01 01:21:24

原创

928人浏览过

避免命令注入的关键在于严格控制用户输入，确保其无法影响到系统命令的执行。这并非易事，需要从代码编写、安全审计到安全意识培养多方面入手。

如何避免命令注入

我曾经参与过一个项目，其中一个功能允许用户输入文件名来下载文件。看似简单的功能，却差点酿成大祸。开发人员直接将用户输入拼接进系统命令 cat filename | gzip > output.gz 中。一个恶意用户只需输入 filename; rm -rf /，就能轻易删除服务器上的所有文件。这给我敲响了警钟，也让我深刻理解了命令注入的危害。

避免命令注入，最有效的方法是永远不要直接将用户输入拼接进系统命令。这听起来简单，但实际操作中却容易忽略。举个例子，假设你需要根据用户输入的文件名读取文件内容。错误的做法是：

filename = request.GET['filename']
os.system(f'cat {filename}')

登录后复制

正确的做法是使用操作系统提供的安全函数，例如Python的 subprocess 模块，并对用户输入进行严格的验证和过滤。正确的代码片段如下：

import subprocess
import os

filename = request.GET['filename']
# 验证文件名，只允许字母数字和下划线
if not filename.isalnum() and '_' not in filename:
    raise ValueError("Invalid filename")
#  构建绝对路径，避免路径穿越攻击
filepath = os.path.join('/safe/directory/', filename) # 指定安全目录

try:
    with open(filepath, 'r') as f:
        # 使用subprocess安全地执行命令
        process = subprocess.Popen(['cat', filepath], stdout=subprocess.PIPE, stderr=subprocess.PIPE)
        stdout, stderr = process.communicate()
        if stderr:
            raise RuntimeError(f"Error reading file: {stderr.decode()}")
        print(stdout.decode())

except FileNotFoundError:
    print("File not found.")
except (ValueError, RuntimeError) as e:
    print(f"Error: {e}")

登录后复制

这段代码做了几件事：