伺服器執行Linux 命令如何避免前端參數攻擊?

linux 資安

我思故我在 2020-09-17 11:44:11 ‧ 2452 瀏覽

分享至

舉例

PHP後端某個伺服器想要使用 linux 某個套件,想要字串轉成 excel xlsx 檔案

$ txtToXlsx '{0}'

前端可以輸入

id , name
1	, xxx1
2	, xxx2

伺服器系統可以自動將字串轉換為 excel

但我想到假如前端使用者加上',不就可以自己組合命令

甚至可以攻擊、控制伺服器?

請問我要搜尋甚麼關鍵字或是方式才能避免這種攻擊呢?

搜尋1 :　搜尋google發現都是 SQL注入的防治,像是網站安全防護—該如何防止SQL注入攻擊？ - 每日頭條kknews.cc › 科技,但我想要的是linux命令

㊣浩瀚星空㊣ iT邦大神 1 級 ‧ 2020-09-17 12:14:09 檢舉

光php去跑server的命令。本身就已經是一個大bug。
不要再為這個bug去拿更大的國防布來蓋。蓋不完的。

我思故我在 iT邦研究生 2 級 ‧ 2020-09-17 12:38:59 檢舉

感謝
他們說這個工具很好用
這樣看起來挺麻煩的 orz

㊣浩瀚星空㊣ iT邦大神 1 級 ‧ 2020-09-17 13:01:29 檢舉

php有很多excel的套件可以直接用。並不需要用server 命令處理。

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

2 個回答

japhenchen

iT邦超人 1 級 ‧ 2020-09-17 12:14:55

最佳解答

置換、對照表

盡量不要用EVAL、EXEC、SYSTEM.........可以執行外部程式的功能，就算非用不可，也不要以sudo或root的權限跑

回應 7
分享
檢舉

看更多先前的回應...收起先前的回應...

我思故我在 iT邦研究生 2 級 ‧ 2020-09-17 12:39:17 檢舉

感謝 japhenchen 大神

icekimo iT邦新手 3 級 ‧ 2020-09-17 13:20:30 檢舉

置換，如把所有不正常字元(非英數空白等合法輸入)全部置換成無破壞力的_

japhenchen iT邦超人 1 級 ‧ 2020-09-17 13:32:10 檢舉

免費的EXCEL在VB跟C#有EPPLUS，在PHP有PHPExcel，在PYTHON也有Openyxl，真的不必要動用到.........呃，Linux系統內建了什麼Excel檔建立工具？

fillano iT邦超人 1 級 ‧ 2020-09-17 13:37:07 檢舉

https://github.com/PHPOffice/PhpSpreadsheet PHPExcel好像改朝換代了

我思故我在 iT邦研究生 2 級 ‧ 2020-09-17 13:58:56 檢舉

所有不正常字元(非英數空白等合法輸入)全部置換成無破壞力的

請問有前人的清單資料嗎? 擔心自己想的有漏 >"<

japhenchen iT邦超人 1 級 ‧ 2020-09-17 14:11:33 檢舉

基本上只要空白whitespace、分號 ; 引號 ' " 斜線反斜線 \ / 代換去除掉，絕大部份用字串做長指令的可能性就少了99%了，除非有人有辦法找到三個字毀系統的事...

sudo rm / -rf

㊣浩瀚星空㊣ iT邦大神 1 級 ‧ 2020-09-17 15:39:31 檢舉

那個糾正一下。eval不算是運行server命令或外部程式的函數。
雖然，它的確也最好不要用。
如

eval($_GET['script']);

大家一起來幫你寫程式。

登入發表回應

seadog007

iT邦新手 5 級 ‧ 2020-09-17 14:52:40

直接使用語言內建的方法不要自己處理
https://www.php.net/manual/en/function.escapeshellarg.php
自己跳一跳都會跳出洞不要亂學
網路上的方法一堆錯的

<?php
system('ls '.escapeshellarg($dir));
?>

回應 3
分享
檢舉

我思故我在 iT邦研究生 2 級 ‧ 2020-09-17 14:53:15 檢舉

這是我在找的!! 感謝您!

seadog007 iT邦新手 5 級 ‧ 2020-09-17 15:05:41 檢舉

唉一堆人都亂教網路上各種洞都是這樣出來的

乾太₍₍ ◝(･◡･)◟ ⁾⁾ iT邦新手 5 級 ‧ 2020-09-17 15:21:59 檢舉

\嗨爆教我/

登入發表回應

我要發表回答

立即登入回答

參賽組數

1064 組

團體組數

40 組

累計文章數

22195 篇

完賽人數

600 人

15th鐵人賽 16th鐵人賽 13th鐵人賽 14th鐵人賽 12th鐵人賽 11th鐵人賽鐵人賽 2019鐵人賽 javascript 2018鐵人賽 python 2017鐵人賽 windows php c# windows server linux css react vue.js

IT邦幫忙