如何为 IPC::Run 提供由用户输入设置的包含嵌入式空格的参数

Question

centos-6.8 perl, v5.10.1 (*) 为 x86_64-linux-thread-multi 构建

这个问题来自这个Where is the shell command called which invokes OpenSSL commands?。简而言之，我正在破解一个非常古老的 Perl 脚本，用于维护内部私有 PKI，以便默认签名哈希和密钥大小满足当前浏览器的要求。

我有这些sn-ps的代码：

. . .    
$args->{keypass} = $self->getPassword("Private key password",1)
  unless $args->{keypass};    
$self->warn("# Password argument: $args->{keypass}\n") if $ENV{CSPDEBUG};
my $cmd = "-out $args->{keyfile} $args->{keysize}";
$cmd = "-des3 -passout pass:$args->{keypass} ".$cmd if defined($args->{keypass});
$self->{openssl}->cmd('genrsa',$cmd,$args);
. . .
$self->{openssl}->cmd('req',"-x509 $common_args -new -out $cacert",$args);
. . .
use IPC::Run qw( start pump finish timeout new_appender new_chunker);
. . .
sub cmd
  {
    my $self = shift;
    my $cmd = shift;
    my $cmdline = shift;
    my $args = shift;
    my $conf;
    my $cfgcmd;
. . .
    $self->{_handle}->pump while length ${$self->{_in}};
. . .

如果用户提供的密码参数值不包含空格，则此代码将按需要执行。如果它确实包含嵌入的空白，则代码会静默失败。如果传递给 keypass 的参数与开始和结束单引号连接，则代码同样会静默失败。在这两种失败情况下，脚本仍然报告成功。

为什么？

无论用户输入是否包含空格，都需要进行哪些更改才能使此代码正常工作？

Answer 1

要回答你的字面问题，让我quote the IPC::Run manual：

"run()、start() 和 harness() 都可以将线束规范作为输入。线束规范可以是要传递给系统外壳 [...] 的单个字符串，也可以是命令列表， io 操作，和/或要执行的计时器/超时。”

为了防止 shell 解析命令参数（当参数包含空格时，这会导致事情中断），您不应将它们作为单个字符串传递，而应作为对包含每个单独参数的数组的引用作为单个字符串，如下所示：

my @cmd = ("-out", $args->{keyfile}, $args->{keysize});
unshift @cmd, ("-des3", "-passout", "pass:$args->{keypass}") if defined $args->{keypass};
# ...
my $h = start ["openssl", "genrsa", @cmd], \$in, \$out;  # or something equivalent

（您发布的代码似乎是通过一些自定义接口层使用 IPC::Run；由于您没有向我们展示该层的确切外观，因此我已将其替换为对 IPC 的简单调用： :Run::start。）

---

在任何情况下，请注意在命令行上传递密码通常被认为是不安全的：如果任何不受信任的用户可以在同一台服务器上运行代码（即使在非特权帐户下），他们只需运行 ps ax 就可以看到密码. openssl manual 注意到了这一点，并警告 pass:<i>password</i>“只能在安全性不重要的情况下使用。”

更安全的选择是send the password over a separate file descriptor。方便的是，IPC::Run 使这变得非常简单：

my @cmd = ("-out", $args->{keyfile}, $args->{keysize});
unshift @cmd, ("-des3", "-passout", "fd:3") if defined $args->{keypass};
# ...
my $h = start ["openssl", "genrsa", @cmd], '<', \$in, '>', \$out, '3<', \$args->{keypass};

这里，密码通过文件描述符 3 传递；如果您需要传递多个密码，您可以使用文件描述符 4、5 等。 （描述符 0、1 和 2 是 stdin、stdout 和 stderr。）

^{免责声明：这显然是所有未经测试的代码。我不是 IPC::Run 方面的专家，所以我可能犯了一些愚蠢的命令语法错误或其他错误。使用前请彻底测试！}