bash の危険な算術式 - どさにっき

テクノロジーカテゴリーの変更を依頼記事元:

ya.maya.st

365 usersがブックマークコメント

bash の危険な算術式 - どさにっき

■ bash の危険な算術式 _ 使ってる人がいちばん多いだろうからタイトルでは bash としてるけど、ここで... ■ bash の危険な算術式 _ 使ってる人がいちばん多いだろうからタイトルでは bash としてるけど、ここで取り上げることは zsh および ksh 一族(本家 ksh、pdksh、mksh)にも該当する。ash、dash などでは該当しない。 _ 以下のシェルスクリプトには脆弱性がある。わかるだろうか。 #!/bin/bash # "品目,単価,個数" の形式の CSV を読んで、"品目,合計金額" の形式で出力する csv="foo.csv" while IFS=, read it em price num; do echo "$it em,$((price*num))" done < "$csv" これ、細工された CSV ファイルを食わせることで、任意コードの実行ができてしまう。数ある脆弱性の中でもとくにヤバいやつだ。どこが穴なのかというと、タイトルにもあるとおり算術式なのだが、し

khtokage うわぁ……　個人的にshellはバッドノウハウ多すぎて調べるのも覚えるのも嫌なので、単純なループよりも複雑なことが出てきたらスクリプト言語に移行することにしてる。

2019/09/02 リンク