コマンド実行でシェルが怖いなら使わなければいいじゃない - 拡張 POSIX シェルスクリプト Advent Calendar 2013 - ダメ出し Blog

http://blog.ohgaki.net/os-command-escape-shell-spec-command-implementation 「えすけーぷじゅうよう!!」を強調して言いたいからなのかシェルの理解が足りないからなのか、 意図がよくわからない文言やら説明が散見されますが、きりがないのでそれらはスルーします。 (シェルについては、なんで関係ない tcsh の話が出てくるんだとか、 位置パラメーター展開に $* 使うなとか、色々) 特に気になったのが以下の文章です。(強調は私によるもの) OSコマンドはOSが提供するシェルで実行されます。 シェルはテキストインターフェースを持ち、 テキストでコマンドとオプションを受け取り実行します。 例示した脆弱なPHPプログラムの場合、 ユーザーからの入力に対しセキュリティ処理を一切してないため、 簡単にサーバーを乗っ取られる可能性があり

[sho]

パラメタを環境変数を介することでエスケープ不要にするテク。へーへーへー。

[kazuhooku]

環境変数+シェルでの展開か。組み合わせる発想はなかった！！！ / popenの場合に実用的だと思う > 「それでもシェルが利用したいときは?」

[rryu]

Rubyのrakeタスクへのパラメータが環境変数経由だったのはこういう理由からだったのだろうか。

[kjw_junichi]

“ARGV[0], ARGV[0]”

[Haaaa_N]

@saitamasaitama 逆だった,CGI版じゃないとダメだったんだ

[catatsuy]

なるほど

[uzulla]

今あらためて思い出すここらへん。

[kasumani]

拡張 POSIX シェルスクリプト Advent Calendar 2013 、21日目の記事です。 今日は、一部界隈に「シェル怖い」と感じてながら仕方なく使用している人や、 怖さを認識せず(できず?)に平気で使用している人が世に溢れているようなの

[n0ts]

環境変数経由で渡すという方法

[mas-higa]

"オプションでない引数を渡す場合は、 オプション終端オプション -- 以降に指定することも重要です。" kwsk

[kits]

「エスケープ不要！」

[stealthinu]

一旦環境変数に渡して環境変数経由でシェルスクリプトで値を取ってダブルクォート内にパラメータを置くことでインジェクションさせず確実にパラメータ渡すことができると。なるほど

[ya--mada]

ふーん、な る ほ ど 環境変数渡しか

[tmtms]

"どうしても system(3) 等でシェルを利用したい場合はパラメーターはコマンドラインに直接記述せずに環境変数を経由するといいです。エスケープ不要で楽だし安全" / すばらしい！

[atsushi1972]

拡張 POSIX シェルスクリプト Advent Calendar 2013 、21日目の記事です。 今日は、一部界隈に「シェル怖い」と感じてながら仕方なく使用している人や、 怖さを認識せず(できず?)に平気で使用している人が世に溢れているようなの