了解 Go 中的命令注入漏洞

Go 开发人员可能需要在各种场景中使用系统命令，例如图像处理，他们需要处理或调整图像大小或执行系统命令来管理资源或收集指标或日志。

有时，您可能正在用 Go 构建一个新系统，需要与现有的遗留系统进行交互。该接口依赖于执行系统命令并处理其输出。

无论哪种情况，在生成系统命令时都必须遵循安全编码约定，因为这可能会导致称为命令注入的安全漏洞。

什么是命令注入？

当应用程序将不安全的用户提供的数据（例如来自 Web 表单的输入）传递到系统 shell 时，命令注入是一个安全漏洞。此漏洞允许攻击者在同一应用程序用户下的主机操作系统上执行任意命令。

在 Go 中，命令注入通常涉及使用 os/exec 包来生成系统命令。

考虑以下 Go 代码示例：

func handler(req *http.Request) {
  cmdName := req.URL.Query()["cmd"][0]
  cmd := exec.Command(cmdName)
  cmd.Run()
}

在此代码片段中，cmdName 直接从请求查询参数中提取，并用于构造在服务器上执行的命令。这是命令注入漏洞的典型示例，因为攻击者可以操纵 cmd 查询字符串值来执行他们选择的任何命令，从而可能危及服务器。

攻击者可以使用恶意命令制作请求，例如：

http://example.com/execute?cmd=rm%20-rf%20/

为什么命令注入很危险？命令注入是危险的，因为它允许攻击者在服务器上执行任意命令，这可能导致严重后果，包括：

• 数据泄露：攻击者可以访问服务器上存储的敏感数据。想象一下他们访问配置文件，例如 config.toml 以及其他列出资源和凭据的文件。
• 系统妥协：攻击者可以获得对服务器的控制，从而导致进一步的利用。这通常采取在受感染的系统内进行横向移动以及对可​​能受感染的其他服务器进行发现操作的形式。
• 服务中断：攻击者可以执行中断服务的命令，从而导致停机。实际上，这可能会因拒绝服务攻击而直接转化为财务损失和业务风险。

成功的命令注入攻击的影响可能是毁灭性的，不仅会影响受感染的系统，还会影响组织的声誉和客户信任。

Go中存在漏洞的进程执行和命令注入

以偏爱简单性和性能而闻名的 Go 开发人员可能会选择集成系统命令来利用这些实用程序的功能。这种方法使他们能够专注于构建强大的应用程序，而无需重新发明轮子。然而，这种集成也带来了一系列挑战，特别是在安全性方面。

为了说明更现实的场景，请考虑一个使用诸如 Convert 之类的命令行实用程序处理图像文件的 Go 应用程序。

我们探索了一个旨在处理图像大小调整请求的 Go 应用程序。该应用程序使用 Gin Web 框架定义 POST 端点 /cloudpawnery/image，它根据用户输入处理图像大小调整。此端点接受来自查询字符串的参数，例如tenantID、fileID和fileSize。 fileSize 参数是可选的，如果未提供，则默认为“200”。

以下代码片段演示了 Go 中存在漏洞的实现。

func handler(req *http.Request) {
  cmdName := req.URL.Query()["cmd"][0]
  cmd := exec.Command(cmdName)
  cmd.Run()
}

downloadAndResize函数使用convert构造一个命令字符串来调整图像大小，并使用exec.CommandContext执行它。

downloadAndResize函数如何构造命令字符串？它使用用户提供的文件大小来获取此输入。然后执行该字符串，可能允许攻击者注入恶意命令。为了减轻这种风险，Go 开发人员应该验证和清理所有用户输入，使用参数化命令，并利用安全实践来安全处理命令执行。

减少命令注入漏洞

在 Go 开发中，就像在任何其他语言中一样，确保您的代码免受命令注入漏洞的影响至关重要。当攻击者可以在主机上执行任意命令时，就会发生命令注入，这可能会导致未经授权的访问、数据泄露和其他严重的安全问题。

让我们探索一些减轻这些风险的最佳实践。

输入验证和卫生

防止命令注入的基本步骤之一是严格的输入验证和卫生。在提供的示例中，downloadAndResize 函数使用用户提供的输入（如 fileSize）构造命令字符串。如果这些输入未得到正确验证，攻击者可能会注入恶意命令。

以下是改进输入验证的方法：

1. 允许列表输入：为文件大小等输入定义一组可接受的值。例如，只允许在合理范围内的数值。
2. 清理输入：从用户输入中删除或转义任何潜在危险的字符。这可以包括 shell 元字符，例如 ;、|、& 等。最好建议您对命令进行硬编码，并且不允许用户输入来控制它。
3. 使用严格类型：尽快将输入转换为预期的数据类型。例如，将 fileSize 转换为整数并验证其范围。

以下是如何实施这些实践的示例：

func handler(req *http.Request) {
  cmdName := req.URL.Query()["cmd"][0]
  cmd := exec.Command(cmdName)
  cmd.Run()
}

 即便如此，我们仍然可以做得更好，以保护 Go 代码免遭命令注入。继续阅读！

使用安全的 API 或库代替系统命令

另一个有效的策略是尽可能避免直接执行系统命令。相反，请利用安全的 API 或库来提供所需的功能，而不会让您的应用程序面临命令注入风险。

例如，如果您的应用程序需要操作图像，请考虑使用 Go 库（如 github.com/disintegration/imaging），而不是调用外部命令（如从 ImageMagick 软件库进行转换）。这种方法将功能封装在 Go 的类型安全环境中，减少了攻击面。

http://example.com/execute?cmd=rm%20-rf%20/

通过在 Go 中使用 images 等库，您无需构建和执行 shell 命令，从而降低命令注入的风险。尽管如此，在某些库和语言生态系统中，第三方包可能是命令执行的简单包装器，因此必须检查此类敏感操作的代码。

重构有漏洞的 downloadAndResize 函数以防止注入

在前面的示例中，我们演示了一个可能存在漏洞的 Go 应用程序，该应用程序使用 exec.CommandContext 函数执行 shell 命令。正如我们所指出的，这种方法可能会导致命令注入漏洞。

让我们尝试重构 downloadAndResize 函数，以确保用户输入不会导致任意命令执行。

防止命令注入的一种有效方法是避免直接从用户输入构造 shell 命令字符串。相反，我们可以使用带有单独参数的 exec.Command 函数，这有助于安全地将用户输入作为参数传递给命令，而无需调用 shell，也不允许用户控制实际命令。

这是 downloadAndResize 函数的重构版本，可解决命令注入漏洞：

func handler(req *http.Request) {
  cmdName := req.URL.Query()["cmd"][0]
  cmd := exec.Command(cmdName)
  cmd.Run()
}

在此重构中，我们将命令与其参数分开。通过使用具有单独参数的 exec.CommandContext，我们无需构造 shell 命令字符串。这种方法确保用户输入被视为数据而不是可执行代码，从而显着降低命令注入的风险。

我们还消除了对 shell 调用的需要。重构的代码不会调用 shell (sh -c)，这是命令注入的常见向量。相反，它直接使用指定的参数调用转换实用程序。

利用 Snyk 实现代码安全

Snyk Code 是一款功能强大的静态分析工具，可帮助开发人员识别并修复代码库中的漏洞。它无缝集成到您的 IDE 和开发工作流程中，提供有关潜在安全问题的实时反馈。

Snyk 如何帮助识别 Go 中的命令注入漏洞

在提供的 Go 示例中，downloadAndResize 函数使用用户提供的输入构造一个 shell 命令：

http://example.com/execute?cmd=rm%20-rf%20/

此代码容易受到命令注入的攻击，因为它直接将用户输入合并到命令字符串中。

如果您的团队中有开发人员不知道命令注入漏洞怎么办？

您是否能够在代码审查中轻松定位文件间静态分析调用流程以发现此命令注入漏洞？

这就是 Snyk 的用武之地。

了解如何通过 Snyk Code 扩展在 VS Code 编辑器中突出显示实时易受攻击的代码来轻松确保应用程序安全：

Snyk 可以通过扫描 Go 代码并标记在 shell 命令中不安全使用用户输入的实例来帮助识别此类漏洞。 Snyk 向您展示了其他开源项目所做的缓解此特定漏洞的真实提交，因此您可以获得多个代码参考作为“良好外观”的示例。

更重要的是，如果您单击“问题概述”选项卡，您可以深入了解更多详细信息和防止命令注入的最佳实践。此选项卡提供了有关如何减轻这些风险的详细见解和建议，并且在您编码时可以直接在 IDE 视图中使用，并且可以遵循这些操作，而无需进行昂贵的上下文切换：

要进一步了解如何保护您的代码免受此类漏洞的影响，请考虑安装 Snyk Code IDE 扩展并连接您的 Git 项目，以识别和修复 Go 应用程序中的安全问题。您可以通过注册并开始扫描您的代码是否存在漏洞来轻松且免费地完成此操作。

以上是了解 Go 中的命令注入漏洞的详细内容。更多信息请关注PHP中文网其他相关文章！