Node.js中安全調(diào)用系統(tǒng)命令的方法（避免注入安全漏洞）

更新時間：2014年12月05日 08:58:00 投稿：junjie

這篇文章主要介紹了Node.js中安全調(diào)用系統(tǒng)命令的方法（避免注入安全漏洞）,本文講解的一般是連接字符串會時出的安全問題情況,需要的朋友可以參考下

在這篇文章中，我們將學(xué)習(xí)正確使用Node.js調(diào)用系統(tǒng)命令的方法，以避免常見的命令行注入漏洞。

我們經(jīng)常使用的調(diào)用命令的方法是最簡單的child_process.exec。它有很一個簡單的使用模式;通過傳入一段字符串命令，并把一個錯誤或命令處理結(jié)果回傳至回調(diào)函數(shù)中。

這里是你通過child_process.exec調(diào)用系統(tǒng)命令一個非常典型的例子。

復(fù)制代碼代碼如下:

child_process.exec('ls', function (err, data) {

    console.log(data);

});

不過，當(dāng)你需要在你調(diào)用的命令中添加一些用戶輸入的參數(shù)時，會發(fā)生什么？顯而易見的解決方案是把用戶輸入直接和您的命令進行字符串合并。但是，我多年的經(jīng)驗告訴我：當(dāng)你將連接的字符串從一個系統(tǒng)發(fā)送到另一個系統(tǒng)時，總有一天會出問題。

復(fù)制代碼代碼如下:

var path = "user input";

child_process.exec('ls -l ' + path, function (err, data) {

    console.log(data);

});

為什么連接字符串會出問題？

嗯，因為在child_process.exec引擎下，將調(diào)用執(zhí)行"/bin/sh"。而不是目標程序。已發(fā)送的命令只是被傳遞給一個新的"/bin/ sh'進程來執(zhí)行shell。 child_process.exec的名字有一定誤導(dǎo)性 - 這是一個bash的解釋器，而不是啟動一個程序。這意味著，所有的shell字符可能會產(chǎn)生毀滅性的后果，如果直接執(zhí)行用戶輸入的參數(shù)。

復(fù)制代碼代碼如下:

[pid 25170] execve("/bin/sh", ["/bin/sh", "-c", "ls -l user input"], [/* 16 vars */]

比如，攻擊者可以使用一個分號";"來結(jié)束命令，并開始一個新的調(diào)用，他們可以使用反引號或$（）來運行子命令。還有很多潛在的濫用。

那么什么是正確的調(diào)用方式？

execFile / spawn

像spawn和execFile采用一個額外的數(shù)組參數(shù)，不是一個shell環(huán)境下可以執(zhí)行其他命令的參數(shù)，并不會運行額外的命令。

讓我們使用的execFile和spawn修改一下之前的例子，看看系統(tǒng)調(diào)用有何不同，以及為什么它不容易受到命令注入。

child_process.execFile

復(fù)制代碼代碼如下:

var child_process = require('child_process');

var path = "."
child_process.execFile('/bin/ls', ['-l', path], function (err, result) {
console.log(result)
});

運行的系統(tǒng)調(diào)用

復(fù)制代碼代碼如下:

[pid 25565] execve("/bin/ls", ["/bin/ls", "-l", "."], [/* 16 vars */]

child_process.spawn

使用 spawn 替換的例子很相似。

復(fù)制代碼代碼如下:

var child_process = require('child_process');

var path = "."
var ls = child_process.spawn('/bin/ls', ['-l', path])
ls.stdout.on('data', function (data) {
console.log(data.toString());
});

運行的系統(tǒng)調(diào)用

復(fù)制代碼代碼如下:

[pid 26883] execve("/bin/ls", ["/bin/ls", "-l", "."], [/* 16 vars */

當(dāng)使用spawn或execfile時，我們的目標是只執(zhí)行一個命令（參數(shù)）。這意味著用戶不能運行注入的命令，因為/bin/ls并不知道如何處理反引號或pipe或;。它的/bin/bash將要解釋的是那些命令的參數(shù)。它類似于使用將參數(shù)傳入SQL查詢(parameter)，如果你熟悉的話。

但還需要警告的是：使用spawn或execFile并不總是安全的。例如，運行 /bin/find，并傳入用戶輸入?yún)?shù)仍有可能導(dǎo)致系統(tǒng)被攻陷。 find命令有一些選項，允許讀/寫任意文件。

所以，這里有一些關(guān)于Node.js運行系統(tǒng)命令的指導(dǎo)建議：

避免使用child_process.exec，當(dāng)需要包含用戶輸入的參數(shù)時更是如此，請牢記。
盡量避免讓用戶傳入?yún)?shù)，使用選擇項比讓用戶直接輸入字符串要好得多。
如果你必須允許用戶輸入?yún)?shù)，請廣泛參考該命令的參數(shù)，確定哪些選項是安全的，并建立一個白名單。

您可能感興趣的文章: