pythonでシェル= Trueのサブプロセスのサニタイズ入力

Question

私はコードを持つpythonスクリプトを持っています。

... 
... 
p = subprocess.Popen(cmd, 
        stdout=subprocess.PIPE, 
        stderr=subprocess.PIPE, 
        shell=True) 
output, error = p.communicate() 
... 
... 

banditを実行するとエラーになります。

>> Issue: [B602:subprocess_popen_with_shell_equals_true] subprocess call with shell=True identified, security issue. 
    Severity: High Confidence: High 
    Location: mypackage/myfile.py:123 
123           stderr=subprocess.PIPE, 
124           shell=True) 
125      output, error = p.communicate() 

それから私はいくつかのグーグルを行う、と私は私の入力を消毒するとshlex.splitとshlex.quoteで、私はそれをサニタイズすることができます持っている、ことを見出しました。

私のコードを変更しました。だから、

Answer 1

bandit -r mypackage/myfile.pyを実行したときに

... 
... 
p = subprocess.Popen(shlex.split(shlex.quote(cmd)), 
        stdout=subprocess.PIPE, 
        stderr=subprocess.PIPE, 
        shell=True) 
output, error = p.communicate() 
... 
... 

しかし、それでもまだ、私は同じエラーを取得し、このエラーを削除するどのような方法があり、利用者は、彼が

ユーザーがいる場合に実行するコマンドを入力します。すでにbashを含むコマンドを実行している可能性があります。banditの警告はshell=Trueです。ユーザーはgrepコマンドの検索クエリ、唯一例えば固定されたコマンドのいくつかのパラメータを選択することが許された場合には警告が理にかなって

：

rc = call(['grep', '-e', query, path]) 

queryが何であれ、ユーザが指定しました。他のコマンドを実行することはありません（grepのみが実行されます）。

はshell=Trueと比較：

rc = call("grep -e '%s' '%s'" % (query, path), shell=True) #XXX don't do it 

ユーザーがgrep -e 'a' /dev/null; rm -rf '' 'path'コマンドを生成するquery = "a' /dev/null; rm -rf '"を渡すことができます。

shell=Trueは、意図していない場合でも、この場合任意のコマンドを実行することができます。これはシェルインジェクションと呼ばれます。

素人攻撃を避けるためにpipes.quote(query)と呼ぶことができますが、一般的なケースでは失敗する可能性があります。その理由は、入力が信頼できる発信元からのものでない場合は避けるべきです。