PHPのescapeshellcmdの危険性 - 徳丸浩の日記

補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2011年1月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 本を書いています。初稿を一通り書き上げ、第2稿を作成中です。その過程で見つけたことを報告します。 PHPのescapeshellcmdはパラメータをクォートしないので呼び出し側でクォートする必要がありますが、escapeshellcmdの仕様がまずいために、呼び出し側でクォートしても突破できることが分かりました。 escapeshellcmdの仕様 PHPにはシェルのパラメータをエスケープする関数が2つあります。escapeshellargとescapeshellcmdです。escapeshellargは、エ

[ymkjp]

“escapeshellcmdはお蔵入りするしかないと思います。幸い、escapeshellargの方はまともな仕様と思われますので、escapeshellargで代替してください。”

[hiro_y]

「escapeshellcmdはお蔵入りするしかないと思います。幸い、escapeshellargの方はまともな仕様と思われますので、escapeshellargで代替してください。」

[ya--mada]

まぁそんなもんだわなぁ的な

[nakag0711]

このドロナワ式設計センス、10年くらい前なら通用しただろうけど……

[fukken]

このことから得る教訓は「PHPはやっぱり糞」ではなく「何が危険かを判断すること自体が危険」であり「サニタイズ脳は脆弱、ホワイトリストこそ最強」だと思う

[Akaza]

escapeshellcmd()の仕様が孕むセキュリティ上の問題について。対になっているクォーテーションがエスケープ対象から除外される。

[juner]

そんな関数があるのか……。QT: #PHP のescapeshellcmdの危険性

[rryu]

/bin/shの実体が環境依存である以上エスケープは完全とは言えないし、シェル経由で実行する意味が無いことがほとんどなので引数リストを取るタイプの実行方法を使うべきだが、PHPではpctrl_exec()しかないのがつらいところ

[ockeghem]

日記書いた