Wie kann ich sicher sein, dass eine Variable nur einen gültigen Dateinamen enthält?

Wie kann ich angesichts des folgenden Skripts sicherstellen, dass das Argument nur einen gültigen Dateinamen enthält /home/charlesingalls/und keinen Pfad ( ../home/carolineingalls/) oder Platzhalter usw.?

Ich möchte nur, dass das Skript eine einzelne Datei aus dem angegebenen fest codierten Verzeichnis löschen kann. Dieses Skript wird als privilegierter Benutzer ausgeführt.

#!/bin/bash

rm -f /home/charlesingalls/"$1"

Wenn Sie nur eine Datei in /home/charlesingalls(und keine Datei in einem Unterverzeichnis) löschen möchten, ist dies ganz einfach: Überprüfen Sie einfach, ob das Argument kein enthält /.

case "$1" in
  */*) echo 1>&2 "Refusing to remove a file in another directory"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Dies läuft rmauch , wenn das Argument .oder ..oder leer, aber in diesem Fall rmwird harmlos ausfallen , ein Verzeichnis zu löschen.

Platzhalter sind hier nicht relevant, da keine Platzhaltererweiterung durchgeführt wird.

Dies ist auch bei Vorhandensein symbolischer Links sicher: Wenn es sich bei der Datei um einen symbolischen Link handelt, wird der Symlink (der sich in befindet /home/charlesingalls) entfernt und das Ziel dieses Links wird nicht beeinflusst.

Beachten Sie, dass dies voraussetzt, dass /home/charlesingallsdies nicht verschoben oder geändert werden kann. Dies sollte in Ordnung sein, wenn das Verzeichnis im Skript fest codiert ist. Wenn es jedoch aus Variablen ermittelt wird, ist die Bestimmung zum Zeitpunkt der rmAusführung des Befehls möglicherweise nicht mehr gültig .

Basierend auf den zusätzlichen Informationen, dass das Argument ein virtueller Hostname ist, sollten Sie eine Whitelist anstelle einer Blacklist durchführen: Überprüfen Sie, ob der Name ein sinnvoller virtueller Hostname ist, anstatt nur Schrägstriche zu verbieten. Ich überprüfe, ob der Name mit einem Kleinbuchstaben oder einer Ziffer beginnt und keine anderen Zeichen als Kleinbuchstaben, Ziffern, Punkte und Bindestriche enthält.

LC_CTYPE=C LC_COLLATE=C
case "$1" in
  *[!-.0-9a-z]*|[!0-9a-z]*) echo >&2 "Invalid host name"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Diese Antwort setzt voraus, dass $1Unterverzeichnisse enthalten sein dürfen. Wenn Sie an dem einfacheren Fall interessiert sind, bei dem es $1sich um einen einfachen Verzeichnisnamen handeln sollte, lesen Sie eine der anderen Antworten.

Platzhalter werden in doppelten Anführungszeichen nicht erweitert. Da $1es sich um doppelte Anführungszeichen handelt, sind Platzhalter kein Problem.

Sowohl ../als auch Symlinks können den tatsächlichen Speicherort einer Datei verdecken . Im Folgenden werden Tests gezeigt, um festzustellen, ob sich die Datei wirklich und nicht nur scheinbar unter dem gewünschten Pfad befindet.

Neuere Systeme: mit realpath

Um herauszufinden, ob die Datei wirklich unter ist /home/charlesingalls/oder nicht, können Sie Folgendes verwenden realpath:

realpath --relative-base=/home/charlesingalls/ "/home/charlesingalls/$1"  | grep -q '^/' && exit 1

Das Obige wird ausgeführt, exit 1wenn sich die von angegebene Datei an einer $1anderen Stelle als im Verzeichnis befindet /home/charlesingalls/. realpathkanonisiert den gesamten Pfad und eliminiert sowohl Symlinks als auch ../.

realpath ist Teil von GNU coreutils und sollte auf jedem Linux-System verfügbar sein.

realpatherfordert GNU Coreutils 8.15 (Jan 2012) oder besser .

Beispiele

Um zu demonstrieren, wie realpath folgt ../, um den tatsächlichen Speicherort einer Datei zu bestimmen (z. B. wird die -qOption grep weggelassen, damit die tatsächliche Ausgabe von grep sichtbar ist):

$ touch /tmp/test
$ realpath --relative-base=$HOME "$HOME/../../tmp/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Um zu demonstrieren, wie es Symlinks folgt:

$ ln -s /tmp/test ~/test
$ realpath --relative-base=$HOME "$HOME/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Ältere Systeme: mit readlink -e

readlinkist auch in der Lage, einen Pfad zu kononisieren, indem sowohl Symlinks als auch ../:

readlink -e "$HOME/test" | grep -q "^$HOME" || exit 1

Verwenden der gleichen Beispieldateien:

$ readlink -e "$HOME/../../tmp/test" | grep "$HOME" || echo FAIL
FAIL
$ readlink -e "$HOME/test" | grep "^$HOME" || echo FAIL
FAIL

Versionen von readlinksind nicht nur auf älteren GNU-Systemen verfügbar, sondern auch auf BSD.

Wenn Sie Pfade vollständig verbieten möchten, können Sie am einfachsten testen, ob die Variable einen Schrägstrich ( /) enthält. In Bash:

if [[ "$1" = */* ]] ; then...

Dies blockiert jedoch alle Pfade, einschließlich foo/bar. Sie könnten ..stattdessen testen , aber das würde die Möglichkeit lassen, dass Symlinks auf Verzeichnisse außerhalb des Zielpfads verweisen.

Wenn Sie nur das Löschen einer einzelnen Datei zulassen möchten, sollten Sie diese nicht verwenden rm -r.

Abhängig davon, was Sie tun, können Sie auch die Dateiberechtigungen des Systems verwenden, um nur das Löschen von Dateien zuzulassen, die der Benutzer selbst löschen kann. Etwas wie das:

su charlesingalls -c "rm /home/charlesingalls/'$1'"

Obwohl @Gilles dies kommentierte, gibt es ein Problem mit Anführungszeichen: Es schlägt fehl, wenn es $1ein einfaches Anführungszeichen enthält. Daher sollte die Variable zuerst darauf getestet werden (z. B. if [[ "$1" = *\'* ]] ; then fail...durch Whitelist eines sinnvollen Zeichensatzes) oder der übergebene Dateiname eine Umgebungsvariable mit z

file="$1" su charlesingalls -c 'rm "/home/charlesingalls/$file"'