Início / unix / Perguntas / 749921
Accepted
Err488
Asked: 2023-06-27 02:59:03 +0800 CST

Sanitize a entrada que é usada para atualizar o script

  • 772

Observando um script bash que recebe informações do comentário de confirmação do Git para se atualizar. Simplificado:

script:

#!/bin/bash

comment=''

printf '%s\n' "$comment"

upgrade_script() {
        # Download latest:
        curl -o updated_script https://path/to/file

        # Get comment:
        new_comment="$(curl https://path/to/comment)"

        # Update comment='' with new_comment:
        sed -i "3,0 s/comment=''/comment='$new_comment'/" updated_script
}

O problema é se o comentário tiver caracteres que quebram sedou manglesbatem. Por exemplo:

# that's all she wrote!  => comment='that's all she wrote!
# use /need/ over /want/ => s/comment=''/'use /need/ over /want'/'

e, claro, com o potencial para coisas maliciosas, mas também não intencionais, como:

# Remove tmp files by: ' rm -r *;' => comment='Remove tmp files by: ' rm -r *;''

Isso seria suficiente para combater o problema?

Adicione isso antes do sed -icomando:

new_comment=$(
    sed \
    -e "s/'/'\"'\"'/g" \
    -e 's/[&\\/]/\\&/g; s/$/\\/; $s/\\$//'<<< "$new_comment"
)

Para bash:

  1. Substitua 'por '"'"'.

Para sed:

  1. Escape &, e \terminadores /de linha.

ou quais seriam as falhas?

Idealmente, isso não seria feito, mas curioso para saber.

Comentário lateral:

Outra solução, para mantê-lo em um arquivo , pode ser adicionar um exitno script e adicionar o texto depois disso e, em seguida, usar sedou algo semelhante para imprimi-lo. Mas isso está além da minha pergunta.

#!/bin/bash

code
code
code

# When in need of the comment:
sed -n '/^exit # EOF Script$/$ {/start_xyz/,/end_xyz/ ...}'
# or what ever. Could even record offset and byte-length safely

code
code

exit # EOF Script

start_xyz
Blah blah blah
blaah
end_xyz

E pensando nisso eu acho que algo no reino de:

comment=<<<'SOF'
...
SOF

Onde basta substituir algum SOFpara não acabar prematuramente. Ainda assim, minha pergunta é a higienização acima. Obrigado.

bash

1 respostas

  1. Best Answer

    Parece que você precisa combinar:

    Então:

    #! /bin/bash -

comment=''

printf '%s\n' "$comment"

upgrade_script() {
  local - new_comment quoted_for_sh quoted_for_sed_and_sh
  set -o pipefail

  # Get comment:
  new_comment="$(curl https://path/to/comment)" || return

  quoted_for_sh=\'${new_comment//\'/\'\\\'\'}\'

  quoted_for_sed_and_sh=$(
    printf '%s\n' "$quoted_for_sh" |
      LC_ALL=C sed 's:[\\/&]:\\&:g;$!s/$/\\/'
  ) || return

  curl https://path/to/file |
  # Update comment='' with new_comment:
    LC_ALL=C sed "3s/comment=''/comment=$quoted_for_sed/" > updated_script
}

    Embora zsh+perl seja uma escolha melhor do que bash+sed:

    #! /bin/zsh -

comment=''

print -r -- $comment

upgrade_script() {
  set -o localoptions -o pipefail
  local new_comment quoted_for_sh

  # Get comment:
  new_comment=$(curl https://path/to/comment) || return

  quoted_for_sh=${(qq)new_comment}

  curl https://path/to/file |
  # Update comment='' with new_comment:
    perl -pse "s/comment=\K''/$repl/ if $. == 3
      ' -- -repl=$quoted_for_sh > updated_script
}

    Tendo em mente que commentpode acabar contendo um caractere NUL que é bom para zsh e seus builtins ou funções, mas não pode ser passado como argumento para um comando externo. bash's $(...)remove os NULs.

    Para remover esse risco, você pode remover os NULs manualmente, canalizando a saída de curlpara tr -d '\0'ou com

    new_comment=${new_comment//$'\0'}

    Ou salvando se houver tal personagem:

    [[ $new_comment = *$'\0'* ]] && die 'Something dodgy going on'
    • 1

relate perguntas