child_process在node.js安全/转义中产生

在Node中,我使用了一个模块( GM ),并注意到它使用了child_process模块中的spawn来传递参数给GraphicMagick的convert可执行文件。

我将用户提交的信息传递给GM​​。 是否有安全问题,用户可以使用pipe道(或其他命令行欺骗)进行某种注入攻击? 还是spawn保护呢? 如果不是的话,在这种情况下是否有逃避用户提交值的最佳做法?

       

网上收集的解决方案 "child_process在node.js安全/转义中产生"

我们最近发表了一篇关于避免 node.js中的命令注入漏洞的博客文章。 它解释了一些关于如何防止这种情况。

如果gm使用的是child_process.exec,那么注入的机会就会更大。 这是因为child_process.exec在子shell下执行命令,而不是直接执行,让shell元字符像反引号$(),;,&&,|| 等恶意使用。

由此产生的系统调用看起来像.exec()这样一个简单的ls -l可能需要用户input。

[pid 25170] execve(“/ bin / sh”,[“/ bin / sh”,“-c”,“ls -l user input”],[/ * 16 vars * /]

由于gm使用产生的结果系统调用将看起来像这样。

[pid 25565] execve(“/ bin / ls”,[“/ bin / ls”,“-l”,“。”],[/ * 16 vars * /]

因为GM将是execve的第一个参数。 这意味着用户不能在shell中使用pipe道和其他命令行欺骗来运行子命令,因为在我们的例子中/ bin / ls不知道如何使用反引号或pipe道。 / bin / bash将会解释这些命令。 这与使用参数化和基于string的SQL查询类似,如果你熟悉的话。

然而,这却带来了一个警告:使用产卵并不总是一件安全的事情。 用户提供的参数仍然可能有一个不好的结果,也许不是命令注入,但其他的东西。 请检查gm的行为以及您在用户提供的input中传递的参数,并考虑用户可能如何滥用该参数。

所以,下面是从node.js运行系统命令的通用集体指导:

  • 避免使用child_process.exec,如果命令包含任何根据用户input而改变的input,请不要使用它。
  • 尽可能避免让用户传递选项给命令。 通常值使用spawn或execfile时可以,但通过用户控制的stringselect选项是一个坏主意。
  • 如果您必须允许用户控制选项,请广泛查看该命令的选项,确定哪些选项是安全的,并仅将这些选项列入白名单。