如何阻止 escapeshellarg() 在 Windows 上将 "s 变成空格？

Question

PHP 函数escapeshellarg() 变成这样：

"A schema"."A table"

进入这个：

" A schema . A table "

也就是说，它用空格代替引号而不是引用它们。预期和期望的结果（由我）是：

"\"A schema\".\"A table\""

这浪费了我一生中无数个小时的故障排除。在很长一段时间里，我只是不知道发生了什么；我的大脑从来没有想过，实际上完全删除双引号会如此愚蠢！即使这“让它变得安全”，但在逃避它们时这样做是一件很奇怪的事情，不仅是标准和受支持的处理方式，而且不会导致使用此功能产生任何问题。

需要注意的是，我已经阅读了 cmets：https://www.php.net/escapeshellarg

我还阅读了很多其他文章，抱怨这个功能以及 Windows shell 转义等等，所以我至少“模糊地”知道原因：“这很复杂。”

但是，我发现自己被这个核心函数 (escapeshellarg) 彻底削弱了，可悲的是，PHP 经常出现这种情况，我发现自己试图创建自己的函数来替换它。当然，这是非常有问题和可怕的，因为这个功能的一半是与安全相关的！它应该“确保”任意字符串作为命令行参数使用，而不会有攻击者可以“突破”它并执行任意命令的风险！

出于这个原因，我很确定只是这样做：

$likely_not_a_safe_argument = '\"' . str_replace('"', '\"', $user_input) . '\"';

...不安全！如果就这么简单，那么我敢肯定 PHP 开发人员会在 escapeshellarg 中为 Windows 执行此操作。

基本上，我现在不知道该怎么办。是的，我确实需要在参数中发送双引号。下面是一个真实世界的例子：

pg_dump --format plain --verbose --file "dump.txt" --exclude-table-data="\"Test schema\".\"Test table\"" --host="localhost" --port="5432" --username="postgres" --dbname="testdb"

（不，它不需要单引号或其他任何东西。它必须是标识符周围的双引号。）

我应该如何安全地“改进”escapeshellarg() 使其不会破坏我的双引号？其他人都做什么？

Answer 1

首先，PHP 的 windows 的 escapeshellarg() 函数不好，事实上它很糟糕，它不能像 ÆØÅ 那样转义完全有效的参数，有时会破坏过程中的输入。您可以通过在此处反转 ReactOS 的 CommandLineToArgvW() 实现来创建正确的 escapeshellarg_windows() 函数：https://github.com/reactos/reactos/blob/10d1afea18db0ef06942239867cbc090e2330b90/dll/win32/shell32/wine/shell32_main.c#L79

不过，我认为这适用于报价，并且实际上同样安全：

function escapeshellarg_shitty_windows_quote_hack(string $arg): string
{
    $hack = bin2hex(random_bytes(11));
    $arg = strtr($arg, [
        '"' => $hack
    ]);
    $arg = escapeshellarg($arg);
    $arg = strtr($arg, [
        $hack => '"""'
    ]);
    return $arg;
}

基本上只是将 " 替换为 """ ，根据 ReactOS 的 CommandLineToArgvW() 代码，这似乎是引号内引号的转义序列

            /* Now count the number of consecutive quotes. Note that qcount
             * already takes into account the opening quote if any, as well as
             * the quote that lead us here.
             */
            while (*s=='"')
            {
                if (++qcount==3)
                {
                    *d++='"';
                    qcount=0;
                }
                s++;
            }

但请注意，这对于 Windows 来说仍然不是一个好的 escapeshellarg 函数。如果确实需要，我可能会尝试在 PHP 中反转 ReactOS CommandLineToArgvW() 函数的效果

（虽然我现在太累了，但即使我不是，如果其他人这样做，我可能会觉得更安全）

• 关于 88 位熵占位符的使用，请参阅 https://crypto.stackexchange.com/a/13305/29537 - 88 位应该远远超过确保唯一性所必需的程度

Answer 2

你可以使用addlashes();函数。

https://www.php.net/manual/de/function.addslashes.php