A entrada de dados proposta na pergunta provoca a execução do código antes de passar a variável para o script.
O uso de subshell $()
executa o comando imediatamente e substitui seu resultado na string:
nunks@yokoi:~$ TESTE="Diretorio atual: $(pwd)"
nunks@yokoi:~$ echo $TESTE
Diretorio atual: /home/nunks
Sendo assim, a execução proposta está primeiro removendo o /etc e depois chamado o script. Não é o script que executa o código malicioso, é a própria atribuição de $MINHAVARIVEL
feita pelo usuário.
Para fazer com que o script cause essa execução maliciosa, você precisaria fazer (mal-)uso do eval
:
#!/bin/bash
#script.sh
eval $MINHAVARIAVEL;
~$ MINHAVARIAVEL='rm -rf /etc' ./script.sh
Aviso obrigatório sobre o uso de eval
Ressalto aqui que, via de regra, não se deve usar eval
para nada. O exemplo acima é justamente um caso em que seu uso representa uma falha de segurança. É praticamente impossível garantir a validade de todos os inputs (usuários maliciosos tendem a ser bastante espertos), sendo muito melhor interpretar a entrada de dados do usuário e definir o que será executado dentro do script. É algo inerentemente inseguro permitir que o usuário execute comandos de sistema operacional dentro de seu script.
Uso de substituição de comando $(comando)
ou `comando`
A abertura de uma subshell dentro dos parênteses $(comando)
ou acentos graves `comando`
é chamada pelo bash de substituição de comando: o comando em questão é avaliado primeiro e seu retorno é passado para o comando "de fora", sendo muito útil para atribuir variáveis dinamicamente.
É importante frisar que esse tipo de expansão funciona como eval
, devendo ser tratado com o mesmo cuidado. A execução maliciosa acima também pode ser provocada com substituições:
#!/bin/bash
#script.sh
echo $($MINHAVARIAVEL);
~$ MINHAVARIAVEL='rm -rf /etc' ./script.sh
Uso de substituição de processo <(comando)
e >(comando)
O bash também proporciona a substituição de processos, possibilitando que eles funcionem como "arquivos" através da criação dinâmica de FIFOs ou arquivos "numerados" no /dev/fd. Isso é muito prático para, por exemplo, se trabalhar com a saída de pipelines complexos sem a necessidade de antes armazená-los em arquivo.
A substituição inteira é utilizada como se fosse um arquivo, sendo que comando passado entre parênteses é avaliado e executado como nas substituições de comando mencionadas acima, mas sua saída é enviada para um arquivo temporário ou FIFO para ser lida imediatamente pelo processo que o chamou. Sendo assim, também funciona como eval
e também deve ser utilizado com cuidado. Exemplo da mesma execução maliciosa supracitada, agora com substituição de processo:
#!/bin/bash
#script.sh
cat <($MINHAVARIAVEL);
~$ MINHAVARIAVEL='rm -rf /etc' ./script.sh
Portanto...
Há mais de uma forma de se executar código contido em variáveis no bash, e nenhuma delas deve ser utilizada sem que se tenha controle do que há dentro da variável em questão. São todas tão perigosas quanto o eval
.
Isso serve sobretudo como aviso de que o input do usuário não deve nunca ser utilizado como dado, e deve ser sempre verificado. Defina de maneira estrita o "formato" ou "tipo" dos dados de input e, antes de mais nada, verifique se eles se enquadram dentro do esperado.
Verificação de dados de entrada
Dito isso, é sempe importante sanear as entradas de dados para evitar não só o uso malicioso, mas também muitos bugs inerentes à criatividade do usuário na escolha dos dados a passar para o script.
O bash oferece diversos tipos de teste para facilitar a identificação de variáveis, como por exemplo o teste para saber se ela aponta para um caminho de arquivo existente (-a
):
#!/bin/bash
if [[ ! -a $MINHAVARIAVEL ]]; then
echo MINHAVARIAVEL deve ser um arquivo!;
exit 1;
fi;
Para casos em que o formato da string passada é conhecido e estrito, eu costumo utilizar expressões regulares. Exemplo com string de data:
#!/bin/bash
if [[ ! $ANOMESDIA =~ ^[0-9]{4}-[0-9]{2}-[0-9]{2}$ ]]; then
#sei que a regex acima e bastante simploria para teste de data,
#trata-se de mero exemplo
echo O formato de ANOMESDIA deve ser AAAA-MM-DD!;
exit 1;
fi;
Visando facilitar a vida do usuário final, meus scripts tendem a conter uma montanha de testes antes de começar a execução de verdade, buscando garantir que os dados de entrada sejam inseridos com formato definido de modo tão estrito quanto for possível. A cada teste em falso ofereço uma mensagem explicativa de erro e uma ajuda básica do comando, para depois terminar com código de erro:
#!/bin/bash
#testaidade.sh
help() {
echo
echo Ajuda:
echo Passe sua idade para script!;
echo Exemplo: $0 22;
}
IDADE=$1;
if [[ -z $IDADE ]]; then #$IDADE está vazia
help;
exit 1;
fi;
if [[ ! $IDADE =~ ^[0-9]+$ ]]; then
echo Sua idade deve ser um valor numérico.;
help;
exit 1;
fi;
echo Idade testada. O valor informado foi $IDADE;
Assim, você pode manipular as informações em seu script sem qualquer preocupação extra quanto à integridade das entradas informadas pelo usuário.
rm -rf
$()
ele é executado imediatamente. nesse caso aí,$MINHAVARIAVEL
contém o resultado dorm
, e é isso que é passado para o enironment do script. Executar uma string como comando é papel doeval
(com todos os riscos inerentes ao seu uso)