從標準輸入到shell的任意輸入

Question

所以我有這個現有命令接受單個參數，但我需要的東西，而不是stdin接受參數。

像下面這樣的shell腳本包裝工作，但是因爲我將允許不可信用戶在stdin上傳遞任意字符串，所以我想知道是否有人可能在shell上執行任意命令。

#!/bin/sh 
$CMD "`cat`" 

顯然，如果$ CMD中有處理有什麼我可以做參數的方式中的漏洞，所以我很擔心這樣的東西：

• 不知怎的，使用戶能夠轉義雙報價和通過輸入參數的$ CMD
• ＃2不知何故導致另一個arbitary命令來運行

Answer 1

參數看起來好像沒什麼問題，但該命令可能會有點SHAK如果它可以有空間的話。另外，如果你正在尋找從用戶那裏獲取只有一條線路，那麼你可能會喜歡這樣的：如果"$(cmd)"可能會擴大到多個字

#!/bin/bash 

read line 
exec "$CMD" "$line" 

Answer 2

大量的代碼將被打破。