脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 网络编程 → JavaScript → node.js → Node.js安全调用系统命令

Node.js中安全调用系统命令的方法（避免注入安全漏洞）

 更新时间：2014年12月05日 08:58:00   投稿：junjie  
这篇文章主要介绍了Node.js中安全调用系统命令的方法（避免注入安全漏洞）,本文讲解的一般是连接字符串会时出的安全问题情况,需要的朋友可以参考下

在这篇文章中，我们将学习正确使用Node.js调用系统命令的方法，以避免常见的命令行注入漏洞。

我们经常使用的调用命令的方法是最简单的child_process.exec。它有很一个简单的使用模式;通过传入一段字符串命令，并把一个错误或命令处理结果回传至回调函数中。

这里是你通过child_process.exec调用系统命令一个非常典型的例子。

复制代码 代码如下:

child_process.exec('ls', function (err, data) {
    console.log(data);
});

不过，当你需要在你调用的命令中添加一些用户输入的参数时，会发生什么？显而易见的解决方案是把用户输入直接和您的命令进行字符串合并。但是，我多年的经验告诉我：当你将连接的字符串从一个系统发送到另一个系统时，总有一天会出问题。

复制代码 代码如下:

var path = "user input";
child_process.exec('ls -l ' + path, function (err, data) {
    console.log(data);
});

为什么连接字符串会出问题？

嗯，因为在child_process.exec引擎下，将调用执行"/bin/sh"。而不是目标程序。已发送的命令只是被传递给一个新的"/bin/ sh'进程来执行shell。 child_process.exec的名字有一定误导性 - 这是一个bash的解释器，而不是启动一个程序。这意味着，所有的shell字符可能会产生毁灭性的后果，如果直接执行用户输入的参数。

复制代码 代码如下:

[pid 25170] execve("/bin/sh", ["/bin/sh", "-c", "ls -l user input"], [/* 16 vars */]

比如，攻击者可以使用一个分号";"来结束命令，并开始一个新的调用，他们可以使用反引号或$（）来运行子命令。还有很多潜在的滥用。

那么什么是正确的调用方式？

execFile / spawn

像spawn和execFile采用一个额外的数组参数，不是一个shell环境下可以执行其他命令的参数，并不会运行额外的命令。

让我们使用的execFile和spawn修改一下之前的例子，看看系统调用有何不同，以及为什么它不容易受到命令注入。

child_process.execFile

复制代码 代码如下:

var child_process = require('child_process');

var path = "."
child_process.execFile('/bin/ls', ['-l', path], function (err, result) {
    console.log(result)
});


运行的系统调用
复制代码 代码如下:

[pid 25565] execve("/bin/ls", ["/bin/ls", "-l", "."], [/* 16 vars */]

child_process.spawn

使用 spawn 替换的例子很相似。

复制代码 代码如下:

var child_process = require('child_process');

var path = "."
var ls = child_process.spawn('/bin/ls', ['-l', path])
ls.stdout.on('data', function (data) {
    console.log(data.toString());
});

运行的系统调用

复制代码 代码如下:

[pid 26883] execve("/bin/ls", ["/bin/ls", "-l", "."], [/* 16 vars */

当使用spawn或execfile时，我们的目标是只执行一个命令（参数）。这意味着用户不能运行注入的命令，因为/bin/ls并不知道如何处理反引号或pipe或;。它的/bin/bash将要解释的是那些命令的参数。它类似于使用将参数传入SQL查询(parameter)，如果你熟悉的话。

但还需要警告的是：使用spawn或execFile并不总是安全的。例如，运行 /bin/find，并传入用户输入参数仍有可能导致系统被攻陷。 find命令有一些选项，允许读/写任意文件。

所以，这里有一些关于Node.js运行系统命令的指导建议：

避免使用child_process.exec，当需要包含用户输入的参数时更是如此，请牢记。
尽量避免让用户传入参数，使用选择项比让用户直接输入字符串要好得多。
如果你必须允许用户输入参数，请广泛参考该命令的参数，确定哪些选项是安全的，并建立一个白名单。

您可能感兴趣的文章:

相关文章

  • nodejs socket实现的服务端和客户端功能示例

    nodejs socket实现的服务端和客户端功能示例

    这篇文章主要介绍了nodejs socket实现的服务端和客户端功能,结合具体实例形式分析了nodejs基于socket通信实现的服务端与客户端功能相关操作技巧,需要的朋友可以参考下
    2017-06-06
  • nodejs解析xml文件方式(xml->json)

    nodejs解析xml文件方式(xml->json)

    这篇文章主要介绍了nodejs解析xml文件方式(xml->json),具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教
    2024-08-08
  • Node.js前后端交互实现用户登陆的实践

    Node.js前后端交互实现用户登陆的实践

    本文主要介绍了Node.js前后端交互实现用户登陆的实践，文中通过示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2021-12-12
  • nodejs集成sqlite使用示例

    nodejs集成sqlite使用示例

    本篇文章主要介绍了nodejs集成sqlite使用示例，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2017-06-06
  • node.js 开发指南 – Node.js 连接 MySQL 并进行数据库操作

    node.js 开发指南 – Node.js 连接 MySQL 并进行数据库操作

    通常在NodeJS开发中我们经常涉及到操作数据库，尤其是 MySQL ，作为应用最为广泛的开源数据库则成为我们的首选，本篇就来介绍下如何通过NodeJS来操作 MySQL 数据库。
    2014-07-07
  • node进程管理工具PM2用法详解

    node进程管理工具PM2用法详解

    本文详细讲解了node进程管理工具PM2的用法，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2022-06-06
  • 详解NODEJS基于FFMPEG视频推流测试

    详解NODEJS基于FFMPEG视频推流测试

    本篇文章主要介绍了详解NODEJS基于FFMPEG视频推流测试，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2017-11-11
  • NodeJs环境安装与配置的实现步骤

    NodeJs环境安装与配置的实现步骤

    本文主要介绍了NodeJs环境安装与配置,包括配置环境和配置国内镜像，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2024-01-01
  • 又拍云 Node.js 实现文件上传、删除功能

    又拍云 Node.js 实现文件上传、删除功能

    这篇文章主要介绍了又拍云 Node.js 实现文件上传、删除功能，代码简单易懂，非常不错，具有一定的参考借鉴价值,需要的朋友可以参考下
    2018-10-10
  • node.js基于express使用websocket的方法

    node.js基于express使用websocket的方法

    这篇文章主要介绍了node.js基于express使用websocket的方法,结合实例形式分析了node.js基于express调用websocket相关设置与使用操作技巧,需要的朋友可以参考下
    2017-11-11

最新评论