Linux將輸出內容管道給你的shell的安全性漏洞

將wget或curl輸出的內容管道給bash或者sh是一件非常愚蠢的事，例如像下面這樣：

[plain] view plain copy 在CODE上查看代碼片派生到My Code片

wget -O - http://example.com/install.sh | sudo sh

命令解釋：wget的-O參數是指明輸出檔案名，一般後面接具體的檔案名稱，這裡接“-”表示“written to stdout”即寫入到標準輸出而不儲存在本地磁碟，然後將標準輸出裡的內容作為輸入傳遞給sudo sh命令。

隨處可見這樣的例子。有時候它們也告訴你忽略認證（看看Salt），這些操作都是無聲無息的。

我認為其無聲無息（而不是在你機器上運行任意命令，基於使用者代理程式來欺騙你）的主要原因是其失敗模式（failure mode）。

如果串連中途關閉了會發生什嗎？讓我們來一起見證吧！

[plain] view plain copy 在CODE上查看代碼片派生到My Code片

(echo -n "echo \"Hello\""; cat) | nc -l -p 5555

命令解釋：

（1）echo的-n參數指明不在輸出結尾添加“\r\n”行為，即不顯式添加分行符號（預設是添加的）；

（2）cat命令只有遇到分行符號才會結束，否則一直處於掛起狀態，直到遇到分行符號結束；

（3）nc命令是網路偵查工具，具體用法請Google，這裡-l指處於監聽模式，-p 5555表示在5555號連接埠處監聽。

這將給串連端發送一條命令，但是並沒有發送分行符號，因此它會一直處於掛起狀態。讓我們串連此用戶端：

[plain] view plain copy 在CODE上查看代碼片派生到My Code片

nc localhost 5555 | sh

一開始，什麼也不會發生。很好！如果我們用kill -9命令強制殺掉正在監聽的netcat會發生什麼呢？sh命令會執行其緩衝區裡的部分命令嗎？

[plain] view plain copy 在CODE上查看代碼片派生到My Code片

nc localhost 5555 | sh

Hello

過程說明：

（1）如何殺掉正在監聽的netcat？

首先用ps -auf | grep nc命令找到“(echo -n "echo \"Hello\""; cat) | nc -l -p 5555”該監聽命令的進程pid，然後kill -9 該pid即可殺掉。

（2）“Hello”是殺掉nc監聽進程後串連用戶端方的輸出結果，怎麼輸出的？

串連中途關閉後，“(echo -n "echo \"Hello\""; cat) | nc -l -p 5555”命令裡的管道輸入“(echo -n "echo \"Hello\"")”會被存入臨時緩衝區內，此時串連方“nc localhost 5555 | sh”中的“nc localhost 5555”會接收該緩衝區的內容，也就是此時串連方的命令會變成：

[plain] view plain copy 在CODE上查看代碼片派生到My Code片

(echo -n "echo \"Hello\"") | sh

當然輸出Hello了。

從上面可以看出，真的執行了，要是換作wget或curl命令又會如何呢？

[plain] view plain copy 在CODE上查看代碼片派生到My Code片

wget -O - http://localhost:5555 | sh

--2013-10-31 16:22:38-- http://localhost:5555/

Resolving localhost (localhost)... 127.0.0.1

Connecting to localhost (localhost)|127.0.0.1|:5555... connected.

HTTP request sent, awaiting response... 200 No headers, assuming HTTP/0.9

Length: unspecified

Saving to: `STDOUT'

[ <=> ] 12 --.-K/s in 8.6s

2013-10-31 16:22:47 (1.40 B/s) - written to stdout [12]

Hello

可見，結果是一樣的。

如果這部分命令不是無害的echo而是下面的這些命令，又會怎樣？

[plain] view plain copy 在CODE上查看代碼片派生到My Code片

TMP=/tmp

TMP_DIR=`mktemp`

rm -rf $TMP_DIR

無害？真的嗎？如果在命令“rm -rf $TMP ”被發送後立即關閉串連呢？這將刪除temp目錄裡的一切檔案，這是相當的有害啊。

看起來貌似不大可能會發生這樣的事情，但是這樣的結果一旦發送，即使只發生一次，後果也可能是災難性的，讓我們悔之不及。

所以，朋友們，請不要將任何命令的輸出內容作為輸入管道給你的shell。

編譯自《Hacker Monthly #45》中的“existential type crisis: Don't Pipe to your Shell”，本文在原文基礎上加上自己的理解稍作修飾。

本欄目更多精彩內容：http://www.bianceng.cnhttp://www.bianceng.cn/OS/Linux/