在ruby中使用constantize远程执行代码

Question

当使用contantize 时，我正试图解决 ruby​​/rails 中的远程代码执行漏洞。

我知道能够向服务器提供任何类名可能会有潜在的危险，但我想知道这个本身是否有危险。

例如，如果 Rails 控制器代码看起来像这样（即在实例化对象上执行硬编码方法）：

klass = params[:class].classify.constantize
klass.do_something_with_id(params[:id]) if klass.respond_to?('do_something_with_id')

此代码是否易受攻击？还是仅结合指定要在类上调用的方法？

Answer 1

将字符串转换为常量本身并不危险，但如何使用该常量却有潜在的危险（即随后调用的方法）。

如果您确实需要这样做，那么最好提供一个允许的类列表。例如

klass = params[:class].classify
if %w(Class1 Class2 Class3).include? klass
  klass.constantize.do_something_with_id(params[:id])
else
  raise 'Forbidden'
end

不管怎样，它可以帮助你在晚上睡觉时知道输入是相当有限的。

更新

控制创建的另一种更明确但也更冗长的方法是使用 case 语句：

def create_klass(option)
  case option
  when "option1"
    Class1
  when "option2"
    Class2
  when "option3"
    Class3
  else
    raise "Unknown option"
  end
end

这样，您无需将系统的内部结构暴露给客户端。如果有很多选项，那么您可以使用带有选项映射到类的哈希。