3

Eu possuo um script (script.sh) que recebe uma variável de ambiente:

echo $MINHAVARIAVEL

Mas ao chamá-lo via terminal, percebi que posso passar comandos por essa variável, e estes comandos são executados sem verificações ao estilo sql injection. Exemplo:

home$ MINHAVARIAVEL=$(rm -rf /etc) script.sh 

Ao invés de tratar a variável como uma string, o meu script trataria ela como um comando, injetaria ela na instrução, e executaria a mesma, abrindo precedentes para furos de segurança.

Como eu evito a execução de código malicioso em variáveis de ambiente? Ou ainda: Como eu forço minha variável de ambiente a ser interpretada apenas como uma "string" inofensiva?

2
  • Esse código da "injeção" já ocorre no momento da atribuição. Fazer a expansão da variável não vai executar o rm -rf Commented 3/11/2017 às 15:26
  • pois é. quando você coloca um comando entre $() ele é executado imediatamente. nesse caso aí, $MINHAVARIAVEL contém o resultado do rm, e é isso que é passado para o enironment do script. Executar uma string como comando é papel do eval (com todos os riscos inerentes ao seu uso)
    – nunks
    Commented 3/11/2017 às 17:23

1 Resposta 1

5

A entrada de dados proposta na pergunta provoca a execução do código antes de passar a variável para o script.

O uso de subshell $() executa o comando imediatamente e substitui seu resultado na string:

nunks@yokoi:~$ TESTE="Diretorio atual: $(pwd)"
nunks@yokoi:~$ echo $TESTE
Diretorio atual: /home/nunks

Sendo assim, a execução proposta está primeiro removendo o /etc e depois chamado o script. Não é o script que executa o código malicioso, é a própria atribuição de $MINHAVARIVEL feita pelo usuário.

Para fazer com que o script cause essa execução maliciosa, você precisaria fazer (mal-)uso do eval:

#!/bin/bash
#script.sh
eval $MINHAVARIAVEL;

~$ MINHAVARIAVEL='rm -rf /etc' ./script.sh


Aviso obrigatório sobre o uso de eval

Ressalto aqui que, via de regra, não se deve usar eval para nada. O exemplo acima é justamente um caso em que seu uso representa uma falha de segurança. É praticamente impossível garantir a validade de todos os inputs (usuários maliciosos tendem a ser bastante espertos), sendo muito melhor interpretar a entrada de dados do usuário e definir o que será executado dentro do script. É algo inerentemente inseguro permitir que o usuário execute comandos de sistema operacional dentro de seu script.


Uso de substituição de comando $(comando) ou `comando`

A abertura de uma subshell dentro dos parênteses $(comando) ou acentos graves `comando` é chamada pelo bash de substituição de comando: o comando em questão é avaliado primeiro e seu retorno é passado para o comando "de fora", sendo muito útil para atribuir variáveis dinamicamente.

É importante frisar que esse tipo de expansão funciona como eval, devendo ser tratado com o mesmo cuidado. A execução maliciosa acima também pode ser provocada com substituições:

#!/bin/bash
#script.sh
echo $($MINHAVARIAVEL);

~$ MINHAVARIAVEL='rm -rf /etc' ./script.sh


Uso de substituição de processo <(comando) e >(comando)

O bash também proporciona a substituição de processos, possibilitando que eles funcionem como "arquivos" através da criação dinâmica de FIFOs ou arquivos "numerados" no /dev/fd. Isso é muito prático para, por exemplo, se trabalhar com a saída de pipelines complexos sem a necessidade de antes armazená-los em arquivo.

A substituição inteira é utilizada como se fosse um arquivo, sendo que comando passado entre parênteses é avaliado e executado como nas substituições de comando mencionadas acima, mas sua saída é enviada para um arquivo temporário ou FIFO para ser lida imediatamente pelo processo que o chamou. Sendo assim, também funciona como eval e também deve ser utilizado com cuidado. Exemplo da mesma execução maliciosa supracitada, agora com substituição de processo:

#!/bin/bash
#script.sh
cat <($MINHAVARIAVEL);

~$ MINHAVARIAVEL='rm -rf /etc' ./script.sh


Portanto...

Há mais de uma forma de se executar código contido em variáveis no bash, e nenhuma delas deve ser utilizada sem que se tenha controle do que há dentro da variável em questão. São todas tão perigosas quanto o eval.

Isso serve sobretudo como aviso de que o input do usuário não deve nunca ser utilizado como dado, e deve ser sempre verificado. Defina de maneira estrita o "formato" ou "tipo" dos dados de input e, antes de mais nada, verifique se eles se enquadram dentro do esperado.

Verificação de dados de entrada

Dito isso, é sempe importante sanear as entradas de dados para evitar não só o uso malicioso, mas também muitos bugs inerentes à criatividade do usuário na escolha dos dados a passar para o script.

O bash oferece diversos tipos de teste para facilitar a identificação de variáveis, como por exemplo o teste para saber se ela aponta para um caminho de arquivo existente (-a):

#!/bin/bash
if [[ ! -a $MINHAVARIAVEL ]]; then
  echo MINHAVARIAVEL deve ser um arquivo!;
  exit 1;
fi;

Para casos em que o formato da string passada é conhecido e estrito, eu costumo utilizar expressões regulares. Exemplo com string de data:

#!/bin/bash
if [[ ! $ANOMESDIA =~ ^[0-9]{4}-[0-9]{2}-[0-9]{2}$ ]]; then
  #sei que a regex acima e bastante simploria para teste de data,
  #trata-se de mero exemplo
  echo O formato de ANOMESDIA deve ser AAAA-MM-DD!;
  exit 1;
fi;

Visando facilitar a vida do usuário final, meus scripts tendem a conter uma montanha de testes antes de começar a execução de verdade, buscando garantir que os dados de entrada sejam inseridos com formato definido de modo tão estrito quanto for possível. A cada teste em falso ofereço uma mensagem explicativa de erro e uma ajuda básica do comando, para depois terminar com código de erro:

#!/bin/bash
#testaidade.sh

help() {
  echo
  echo Ajuda:
  echo Passe sua idade para script!;
  echo Exemplo: $0 22;
}
IDADE=$1;

if [[ -z $IDADE ]]; then #$IDADE está vazia
  help;
  exit 1;
fi;
if [[ ! $IDADE =~ ^[0-9]+$ ]]; then
  echo Sua idade deve ser um valor numérico.;
  help;
  exit 1;
fi;
echo Idade testada. O valor informado foi $IDADE;

Assim, você pode manipular as informações em seu script sem qualquer preocupação extra quanto à integridade das entradas informadas pelo usuário.

2
  • Então é "impossível" o usuário passar um código malicioso via input que acabe sendo executado, correto? A não ser que eu use eval (ou outro comando de execução explícito no input), eu estou protegido e posso lidar com o input sem medo de código injetado no meu script?
    – Kazzkiq
    Commented 6/11/2017 às 18:25
  • 2
    Do jeito que você colocou na pergunta o código malicioso é executado sim, mas no momento da atribuição da variável, na subshell de expansão de comando $(), e não pelo script. Dito isso, desde que o seu script não saia executando strings de input sem antes verifica-las, você pode ficar tranquilo. Está protegido desde que não pule do avião sem verificar se está usando paraquedas, haha.
    – nunks
    Commented 6/11/2017 às 21:21

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .