如何在php7中使用shell_exec時停止命令注入？

Question

我有一個html表單，要求用戶輸入一個域名，這是張貼到下面的php7.0頁面處理一個shell腳本，然後通過輸出通過aha寫入到一個HTML頁面，然後顯示。

我的問題是我怎麼能防止用戶注入命令，如：

domain.com | rm * -rf

我認爲這可以通過使用safe_mode並限制命令可以運行的目錄來完成，但現在看起來這個功能已經被棄用了。

$domain_arg = escapeshellarg($_POST['domain']); 
$today = date("Y-m-d-H:i:s"); 
$cmd = "/home/ubuntu/dtest/dtest.sh $domain_arg | aha -b -t 'Domain test of $domain_arg' > /var/www/website/results/$domain_arg.$today.html"; 
$output = shell_exec($cmd); 
header("Location: http://the.web.com/results/$result.$today.html"); 

Answer 1

您在運行參數前使用escapeshellarg，結果是單引號字符串，如'domain.com | rm *'。你的問題是，你不能用此作爲外殼的說法，但作爲一個shell參數的部分：

aha -b -t 'Domain test of $domain_arg' 

這絕對導致您所描述的問題。嘗試這樣的代替：

<?php 
$domain_arg = escapeshellarg($_POST["domain"]); 
$log_msg = escapeshellarg("Domain test of $_POST[domain]"); 
$today = date("Y-m-d-H:i:s"); 
$log_file = preg_replace(
    "/[^\w:\\/.-]/i", 
    "_", 
    "/var/www/website/results/$_POST[domain].$today.html" 
); 

$cmd = "/home/ubuntu/dtest/dtest.sh $domain_arg | aha -b -t $log_msg > $log_file"; 
$output = shell_exec($cmd); 
$result = rawurlencode($output); // just guessing that's where it comes from 
$today = rawurlencode($today); 
header("Location: http://the.web.com/results/$result.$today.html"); 

Answer 2

您應該使用escapeshellcmd()而不是escapeshellarg（）。