macos - 保护 WiFi shell 脚本免受 shell 注入（sh、tcsh）

Question

见过名为 的 WiFi 基站"| rm -rf ~ | rm -rf /吗？

在编写某种简单分析或 WiFi 基站数据记录的脚本时，如何确保攻击者无法将 shell 命令注入到您的表达式中？

例如，我想记录来自ifconfig run0 scanOpenBSD 和airport -sOS X的数据，并且我已经在 sh/tcsh 中有一些脚本可以很好地满足我的需求。但是我怎么能确保我不会成为 shell 注射的受害者呢？

Answer 1

这个问题已经多次在 OpenBSD 列表 (misc@) 以及其他地方得到解决。首先，我建议您不要执行从网络获得的东西，特别是在脚本中。也许您可以编辑您的问题，以更具体地说明您想对这些数据做什么，以便我们的答案可以针对它量身定制。

• 如果您想使用此信息连接到网络（作为网络管理员），请将自己置于脚本和输入之间。因此，在获得扫描输出后，只需复制您在实际脚本中批准的 nwid。看看这个关于不死的讨论

• 如果您需要在输入上运行自动化脚本以用于其他目的（数据收集？），请考虑创建一个 chrooted dir ，其中包含您的脚本和静态编译的 shell 并在 chroot 下运行它。当然，您不应该依赖这种方法来进行比您在问题中提到的更复杂的攻击。

希望这可以帮助。