1.3 系统接口

1.3.1【必须】命令执行检查

  • 使用exec.Command、exec.CommandContext、syscall.StartProcess、os.StartProcess等函数时，第一个参数（path）直接取外部输入值时，应使用白名单限定可执行的命令范围，不允许传入bash、cmd、sh等命令；
  • 使用exec.Command、exec.CommandContext等函数时，通过bash、cmd、sh等创建shell，-c后的参数（arg）拼接外部输入，应过滤\n $ & ; | ‘ “ ( ) `等潜在恶意字符；
  1. // bad
  2. func foo() {
  3.     userInputedVal := "&& echo 'hello'" // 假设外部传入该变量值
  4.     cmdName := "ping " + userInputedVal
  6.     //未判断外部输入是否存在命令注入字符，结合sh可造成命令注入
  7.     cmd := exec.Command("sh", "-c", cmdName)
  8.     output, _ := cmd.CombinedOutput()
  9.     fmt.Println(string(output))
  11.     cmdName := "ls"
  12.     //未判断外部输入是否是预期命令
  13.     cmd := exec.Command(cmdName)
  14.     output, _ := cmd.CombinedOutput()
  15.     fmt.Println(string(output))
  16. }
  18. // good
  19. func checkIllegal(cmdName string) bool {
  20.     if strings.Contains(cmdName, "&") || strings.Contains(cmdName, "|") || strings.Contains(cmdName, ";") ||
  21.         strings.Contains(cmdName, "$") || strings.Contains(cmdName, "'") || strings.Contains(cmdName, "`") ||
  22.         strings.Contains(cmdName, "(") || strings.Contains(cmdName, ")") || strings.Contains(cmdName, "\"") {
  23.         return true
  24.     }
  25.     return false
  26. }
  28. func main() {
  29.     userInputedVal := "&& echo 'hello'"
  30.     cmdName := "ping " + userInputedVal
  32.     if checkIllegal(cmdName) { // 检查传给sh的命令是否有特殊字符
  33.         return // 存在特殊字符直接return
  34.     }
  36.     cmd := exec.Command("sh", "-c", cmdName)
  37.     output, _ := cmd.CombinedOutput()
  38.     fmt.Println(string(output))
  39. }