Sanitized Eingabe für Subprozess mit Shell = True in Python

Question

Ich habe Python-Skript, das Code hat.

... 
... 
p = subprocess.Popen(cmd, 
        stdout=subprocess.PIPE, 
        stderr=subprocess.PIPE, 
        shell=True) 
output, error = p.communicate() 
... 
... 

Wenn ich bandit laufen lasse, gibt es einen Fehler.

>> Issue: [B602:subprocess_popen_with_shell_equals_true] subprocess call with shell=True identified, security issue. 
    Severity: High Confidence: High 
    Location: mypackage/myfile.py:123 
123           stderr=subprocess.PIPE, 
124           shell=True) 
125      output, error = p.communicate() 

Dann mache ich etwas google, und stellte fest, dass ich meine Eingabe zu hygienisiert und mit shlex.split und shlex.quote Ich kann es sanieren.

Ich habe meinen Code geändert.

... 
... 
p = subprocess.Popen(shlex.split(shlex.quote(cmd)), 
        stdout=subprocess.PIPE, 
        stderr=subprocess.PIPE, 
        shell=True) 
output, error = p.communicate() 
... 
... 

Aber ich immer noch denselben Fehler, gibt es eine Möglichkeit, diesen Fehler zu entfernen, wenn bandit -r mypackage/myfile.py laufen

Answer 1

So geben Sie einen Benutzerbefehl, den er

Wenn der Benutzer ausgeführt werden soll kann bereits einen Befehl ausführen, einschließlich bash, dann ist die bandit Warnung über shell=True nicht anwendbar.

Die Warnung wäre sinnvoll, wenn der Benutzer nur erlaubt, wurden beispielsweise eine Suchabfrage für einen grep Befehl einige Parameter für einen bestimmten Befehl zu wählen:

rc = call(['grep', '-e', query, path]) 

unabhängig vom Benutzer angegebenen query wird; es wird nicht dazu führen, dass ein anderer Befehl ausgeführt wird (nur grep wird ausgeführt).

Vergleichen Sie es mit shell=True:

rc = call("grep -e '%s' '%s'" % (query, path), shell=True) #XXX don't do it 

Ein Benutzer query = "a' /dev/null; rm -rf '" passieren könnte, die grep -e 'a' /dev/null; rm -rf '' 'path' Befehl erzeugen würde.

shell=True ermöglicht es einem Benutzer, in diesem Fall einen beliebigen Befehl auszuführen, auch wenn dies nicht beabsichtigt ist. Es wird Shell-Injektion genannt.

Sie könnten pipes.quote(query) aufrufen, um naive Angriffe zu vermeiden, aber es kann im allgemeinen Fall fehlschlagen, weshalb shell=True vermieden werden sollte, wenn die Eingabe nicht von einer vertrauenswürdigen Quelle stammt.