Bash / posixシェルで変数を引用するのを忘れることのセキュリティへの影響？

for file in *; do
  [ -f $file ] || continue
  something-that-would-be-dangerous-if-$file-were-a-directory
done

x -o yesというディレクトリを作成すると 、その後、テストは
陽性になります。これは、私たちが評価している
条件式とはまったく異なるためです。

さらに悪いことに、 x -a a [0 $（uname>＆2）] -gt 1というファイルを作成すると 、
少なくともすべてのksh実装（ sh を含む） uname を実行するほとんどの商用Unicesおよび一部のBSDの） これらのシェルは、[の
数値比較演算子で算術評価を実行するためです。 コマンド。

$ touch x 'x -a a[0$(uname>&2)] -gt 1'
$ ksh -c 'for f in *; do [ -f $f ]; done'
Linux

bashと同じ x -a -v a [0 $（uname>＆2）]のようなファイル名の場合 。

もちろん、恣意的に実行できない場合は、攻撃者
より少ないダメージで解決するかもしれません（これは恣意的な実行を得るのに役立つかもしれません
）。ファイルを書き込んだり、権限や所有権を変更したり、主効果や副作用をもたらしたりする可能性のあるコマンドはすべて悪用される可能性があります。

あらゆる種類のことがファイル名で実行できます。

$ touch -- '-R ..'
$ for file in *; do [ -f "$file" ] && chmod +w $file; done

そして、あなたは ..を作ることになります 書き込み可能（GNU chmodで再帰的に 。

/ tmpのような公的に書き込み可能な領域でファイルの自動処理を行うスクリプト 非常に注意深く書かれるべきです。

[$＃-gt 1]はどうですか

それは私が腹立たしいと思うものです。一部の人々は、
特定の拡張が、引用符を省略できるかどうかを判断するのに
問題があるのではないかと考えるのに苦労します。

言っているようなものです。 ねえ、 $＃のようです
split+glob演算子の対象にはなりません。シェルにsplit+globを実行するように依頼しましょう 。
またはバグが発生する可能性が低いという理由だけで、間違ったコードを記述しましょう 。

今、それはどれほどありそうもないですか？ OK、 $＃ （または $！ 、 $？ または
算術置換）には数字（または-）のみを含めることができます
some²）ので、 glob 一部が出ています。 分割の場合
何かをする部分ですが、必要なのは $ IFSだけです。 数字を含める（または- 。

一部のシェルでは、 $ IFS 環境から継承される可能性がありますが、
環境が安全でない場合は、とにかくゲームオーバーです。

ここで、次のような関数を作成すると、次のようになります。

my_function() {
  [ $# -eq 2 ] || return
  ...
}

つまり、関数の動作は、呼び出されるコンテキストに
依存するということです。つまり、 $ IFS それへの入力の1つになります。厳密に言えば、
関数のAPIドキュメントを作成するときは、
次のようになります。

# my_function
#   inputs:
#     $1: source directory
#     $2: destination directory
#   $IFS: used to split $#, expected not to contain digits...

また、関数を呼び出すコードでは、 $ IFSを確認する必要があります。
数字は含まれていません。
これらの2つの二重引用符の文字を入力する気がなかったからです。

さて、その [$＃-eq 2] バグが脆弱になるため、
$ IFSの値にはどういうわけか必要です
攻撃者の管理下に置かれる 。おそらく、攻撃者が しない限り、通常は
発生しません。 なんとか別のバグを悪用することができました。

しかし、それは前代未聞ではありません。一般的なケースは、
算術式で使用する前にデータをサニタイズするのを忘れた場合です。

一部のシェルで任意のコードが実行される可能性があることはすでに説明しましたが、すべてのシェルで攻撃者が可能になります。 任意の変数に整数値を与えるため。

例：

n=$(($1 + 1))
if [ $# -gt 2 ]; then
  echo >&2 "Too many arguments"
  exit 1
fi

そして$1 値（IFS =-1234567890） 、その算術評価
には、IFSと次の[の設定の副作用があります コマンドが失敗します。これは、引数が多すぎるのチェックを意味します
バイパスされます。

split + glob の場合はどうですか？ 演算子は呼び出されませんか？

変数やその他の展開の前後に引用符が必要な別のケースがあります。それがパターンとして使用される場合です。

[[ $a = $b ]]   # a `ksh` construct also supported by `bash`
case $a in ($b) ...; esac

$ aかどうかをテストしないでください および$b 同じです（ zshを除く ）ただし、 $ aの場合 $ bのパターンと一致します 。そして、 $ bを引用する必要があります 文字列として比較する場合（ "$ {a＃$ b}"でも同じです または"${a％$ b}" または"${a ## * $ b *}" ここで、 $ b パターンと見なされない場合は、引用する必要があります。

つまり、 [[$ a =$ b]] $ aの場合にtrueを返す場合があります $ bとは異なります （たとえば、 $ aの場合 何でもです および$b *です ）または、それらが同一である場合（たとえば、両方の $ a の場合）はfalseを返す場合があります および$b [a]です 。

それはセキュリティの脆弱性につながる可能性がありますか？はい、他のバグと同じように。ここで、攻撃者 スクリプトの論理コードフローを変更したり、スクリプトが行っている仮定を破ったりする可能性があります。たとえば、次のようなコードを使用します：

if [[ $1 = $2 ]]; then
   echo >&2 '$1 and $2 cannot be the same or damage will incur'
   exit 1
fi

攻撃者 '[a]''[a]'を渡すことでチェックをバイパスできます 。

さて、そのパターンマッチングも split + glob も、 オペレーターが適用します。変数を引用符で囲まずに残すことの危険性は何ですか？

私は自分が書いていることを認めなければなりません：

a=$b
case $a in...

そこでは、引用は害にはなりませんが、厳密には必要ではありません。

ただし、このような場合（たとえば、Q＆Aの回答で）引用符を省略することの副作用の1つは、初心者に間違ったメッセージを送信する可能性があることです。変数を引用符で囲まなくても大丈夫かもしれません 。

たとえば、 a =$ b の場合、彼らは考え始めるかもしれません。 OKの場合、 export a =$ b 同様になります（ export の引数にあるため、多くのシェルにはありません。 リストコンテキストでコマンドを実行）または env a =$ b 。

zshはどうですか ？

zsh それらの設計の厄介さのほとんどを修正しました。 zshで （少なくともsh / kshエミュレーションモードでない場合）分割が必要な場合 、または globbing 、またはパターンマッチング 、明示的にリクエストする必要があります： $ =var 分割し、 $〜var グロブまたは変数のコンテンツをパターンとして処理します。

ただし、分割（グロブではない）は、引用符で囲まれていないコマンド置換時に暗黙的に実行されます（ echo $（cmd）のように）。 。

また、変数を引用しないことによる望ましくない副作用は、空の削除です。 。 zsh 動作は、グロビングを完全に無効にすることで他のシェルで達成できることと似ています（ set -f を使用） ）および分割（ IFS ='' を使用） ）。それでも、：

cmd $var

split + globはありません 、ただし $ varの場合 1つの空の引数cmdを受け取る代わりに、は空です 引数はまったくありません。

それはバグを引き起こす可能性があります（明らかな [-n $ var] のように ）。これにより、スクリプトの期待や仮定が破られ、脆弱性が発生する可能性があります。

空の変数により、引数が削除される可能性があるため 、つまり、次の引数が間違ったコンテキストで解釈される可能性があることを意味します。

例として、

printf '[%d] <%s>n' 1 $attacker_supplied1 2 $attacker_supplied2

$ Attacker_supplied1の場合 空の場合、 $ Attacker_supplied2 算術式として解釈されます（％d の場合） ）文字列の代わりに（％s の場合 ）および算術式で使用されるサニタイズされていないデータは、zshなどのKornのようなシェルでのコマンドインジェクションの脆弱性です。

$ attacker_supplied1='x y' attacker_supplied2='*'
$ printf '[%d] <%s>n' 1 $attacker_supplied1 2 $attacker_supplied2
[1] <x y>
[2] <*>

結構ですが：

$ attacker_supplied1='' attacker_supplied2='psvar[$(uname>&2)0]'
$ printf '[%d] <%s>n' 1 $attacker_supplied1 2 $attacker_supplied2
Linux
[1] <2>
[0] <>

uname 任意のコマンド 実行されました。

行うときはどうですか split + globが必要です オペレーター？

はい、それは通常、変数を引用符で囲まないままにしておきたい場合です。ただし、分割を確実に調整する必要があります。 およびglob それを使用する前に正しく演算子。 分割のみが必要な場合 グロブではなく一部 一部（ほとんどの場合）、グロビングを無効にする必要があります（ set -o noglob / set -f ）そして $ IFSを修正します 。そうしないと、脆弱性も発生します（前述のDavid KornのCGIの例のように）。

結論

要するに、シェルで変数（またはコマンド置換または
算術展開）を引用符で囲まずに残すことは非常に危険です
特に間違ったコンテキストで行われた場合、
どれがそれらの間違ったコンテキスト。

これが、悪い習慣と見なされる理由の1つです。 。

これまで読んでくれてありがとう。頭を越えても
心配しないでください。誰もが
コードを書く方法でコードを書くことのすべての意味を理解することを期待することはできません。そのため、グッドプラクティスの推奨事項があります 、したがって、
必ずしも理由を理解していなくてもフォローできます。

（それがまだ明らかでない場合は、
セキュリティに敏感なコードをシェルで記述しないでください）。

そして、このサイトの回答に変数を引用してください！