当前位置：首页 > news >正文

常见Bash脚本漏洞分析与防御

news 2025/9/6 9:03:14

引言

在Unix/Linux系统中，Bash脚本因其简洁、高效而成为自动化任务、系统管理和快速原型开发的首选工具。然而，Bash的强大功能和其独特的语法特性，也为安全漏洞埋下了隐患。许多开发者在追求便捷性的过程中，无意间引入了命令注入、权限滥用、数据泄露等严重风险。

对于网络安全从业者而言，深入理解这些“隐藏的危险”，掌握漏洞的根本原理和防御方法，是提升系统安全防护能力的关键。本文将从一个真实的案例出发，系统性地探讨Bash脚本中常见的几类漏洞。

一、致命信任：变量比较中的通配符陷阱

许多初学者认为，使用[[ ... ]]条件表达式进行字符串比较是安全的。然而，案例揭示了一个普遍存在的误解：不加引号的变量，在特定上下文中会引发意想不到的行为。

漏洞原理：从字面值到通配模式

我们来看这个典型的易受攻击的脚本片段：

#!/bin/bash
DB_PASS="k4l1L1nUx"  # 假设从安全源获取
read -s -p "Enter password: " USER_PASSif [[ $DB_PASS == $USER_PASS ]]; thenecho "Password confirmed!"
elseecho "Password confirmation failed!"
fi

这个漏洞的核心在于Bash的通配符扩展（Globbing）机制。当[[ ... ]]表达式中的变量不加引号时，Bash会将其值解释为一个文件匹配模式，而不是一个单纯的字符串。例如，如果攻击者输入k*，表达式会变成[[ k4l1L1nUx == k* ]]。由于k*是一个合法的通配模式，可以匹配任何以“k”开头的字符串，因此比较结果为真，认证成功。

这种行为使得攻击者可以通过**逐字符盲注（Character-by-character Blind Brute-force）**的方式，精确地猜解出密码的每一个字符。攻击者首先输入a*，如果认证失败，再输入b*，以此类推，直到找到正确的首字符。之后，他们会继续尝试ab*，ac*，逐步构建出完整的密码，整个过程无需知道密码的任何细节，仅仅依赖脚本的输出反馈。

import string
import subprocess
all = list(string.ascii_letters + string.digits)
password = ""
file = str(input("File name: "))
found = Falsewhile not found:for character in all:command = f"echo '{password}{character}*' | ./{file}"output = subprocess.run(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True).stdoutif "Password confirmed!" in output:password += character# Remove the comment if you want me to show you the process of how it is finding the password.# print(password) breakelse:found = Trueprint("The password is: ", password)

安全加固：引语是防护的第一道防线

解决这个漏洞的方法看似简单，却至关重要：始终为变量加双引号。

# 正确且安全的写法
if [[ "$DB_PASS" == "$USER_PASS" ]]; thenecho "Password confirmed!"
elseecho "Password confirmation failed!"
fi

使用双引号"$USER_PASS"后，Bash将强制把变量的值视为一个字面字符串（literal string），从而禁用通配符扩展。只有当用户输入的字符串与DB_PASS的值完全相同时，比较才会返回真。这一简单的改动，便彻底消除了通配符带来的安全风险。

二、命令注入：当用户输入成为执行指令

命令注入漏洞是Bash脚本中最为普遍且最具破坏性的漏洞之一。它发生在脚本将未经验证的用户输入直接拼接到要执行的命令字符串中。

漏洞原理：特殊的控制字符

考虑一个用于查询用户信息的脚本：

#!/bin/bash
read -p "Enter username: " USER
echo "User information for $USER:"
grep "^$USER:" /etc/passwd

乍看之下，这段脚本似乎无懈可击。然而，如果攻击者输入的是admin; cat /etc/shadow，会发生什么？

在Bash中，分号;是一个命令分隔符，允许在同一行执行多个命令。当$USER变量被替换时，grep命令将变成：

grep "^admin; cat /etc/shadow:" /etc/passwd

Bash会首先执行grep "^admin:" /etc/passwd，然后紧接着执行第二个命令cat /etc/shadow，这通常是一个只对root用户可读的敏感文件。攻击者成功地将自己的指令注入到脚本中，从而实现了对系统的非法访问。其他可用于注入的特殊字符还包括|（管道）、&（后台执行）和$(...)（命令替换）等。

安全加固：以数据而非命令的方式处理输入

防范命令注入的核心在于将用户输入视为纯粹的数据，而非可执行的代码。

使用参数数组：这是最安全的方式。将命令及其参数存放在一个数组中，然后执行数组。这种方法能防止Shell对参数进行二次解析。
```
# 使用数组安全地执行命令
read -p "Enter username: " USER
COMMAND=(grep "^$USER:" /etc/passwd)
"${COMMAND[@]}"
```
严格的输入验证：对所有用户输入进行**白名单（whitelisting）**验证，确保其只包含预期的字符和格式。例如，对于用户名，只允许字母、数字和下划线。

三、权限与文件操作：被忽略的细节风险

即使脚本本身没有命令注入漏洞，不安全的文件操作也可能导致权限滥用和数据篡改。

漏洞原理：竞争条件与符号链接

许多脚本为了临时存储数据而创建临时文件，例如：

#!/bin/bash
TEMP_FILE="/tmp/$(date +%s%N)_temp.txt"
touch "$TEMP_FILE"
echo "sensitive data" > "$TEMP_FILE"

这种做法存在一个竞争条件（Race Condition）。在touch命令创建文件和echo命令写入数据之间的极短时间内，攻击者可以利用这个时间窗，用一个符号链接将$TEMP_FILE重定向到另一个敏感文件，比如/etc/shadow。当echo命令执行时，它会把“sensitive data”写入/etc/shadow，导致系统用户数据被破坏。

安全加固：原子操作与专有工具

使用mktemp：mktemp是一个专为安全创建临时文件而设计的工具，它在一个**原子操作（atomic operation）**中创建文件并返回其唯一路径，从而消除了竞争条件。
```
#!/bin/bash
# mktemp会自动创建一个带有随机后缀的唯一临时文件
TEMP_FILE=$(mktemp)
echo "sensitive data" > "$TEMP_FILE"
# 记得在使用完毕后删除
rm "$TEMP_FILE"
```