一块儿学shell（十一）之安全的shell脚本：起点

#----------------------------------------------------------# 
# ====> 红色字体 -特指煮酒我的所见。加粗则为须要重点注意。 #
# ====> 蓝色加粗 -特指与本文相关人员，包括参与修正的朋友。 #
# ====> 煮酒品茶 -Http://cwtea.blog.51cto.com          #
#----------------------------------------------------------#

 一块儿学shell（十一）之安全的shell脚本：起点

煮酒品茶：安全性shell脚本提示、限制性shell、特洛伊***、为shell脚本设置setuid:坏主意，ksh93与特权模式。这章基本上是彻底抄吧，由于这是原做的纯经验，也不敢本身去随便修改。

如下都是重点：

为bin目录设置保护

确认$PATH下的每个目录都只有它的拥有者能够写入，其他任何人都不能，一样的道理也应应用于bin目录里的全部程序。

写程序前，先想清楚

花点时间想一想，你想要作的是什么，该如何实行。

应对全部输入参数检查其有效性

若是你期待的是数字，那么验证拿数字。

对全部可返回错误的命令，检查错误处理代码

不在预期内的失败状况，极可能是有问题的强迫失败，致使脚本出现不当的行为。

不要信任传进来的环境变量

若是它们被接下来的命令（例如TZ、PATH、IFS）使用时，请检查并重设为已知的值。

从已知的地方开始

在脚本开始时，请切cd到已知目录，这么一来，接下来的任何相对路径名称才能指到已知位置。请确认cd操做成功

[root@localhost new]# cd ~ ||exit 1

在命令上使用完整路径

这么作使你才能知道本身使用的是哪一个版本，无须理会$PATH设置

使用syslog保留审计跟踪

当使用该输入时，必定将用户输入引用起来

如："$1"与"$*"，这么作能够防止居心不良的用户输入做超出范围的计算与执行

勿在用户输入上使用eval

甚至在引用用户输入以后，也不要使用eval将它交给shell再处理，若是用户读了你的脚本，发现你在使用eval，就能轻松地利用这个脚本进行任何破坏。

利用通配字符展开的结果

你能够将空格、分号、反斜杠等放在文件名里，让棘手的事情交给系统管理员处理，

检查用户输入是否有meta字符

若是使用eval或$(....)里的输入，请检查是否有像$或'这类的meta字符

检测你的代码，并当心阅读它

寻找是否有可被利用的漏洞与错误，把全部坏心眼的想法都考虑进去，当心研究你的代码，试着找出破坏它的方式，再修正你发现的全部问题。

留意竟争条件

***者是否是能够在你的脚本里的任两个命令之间执行任意命令，这对安全性是否有危害，若是是，换个方式处理你的脚本。

对符号性链接心存怀疑

在chmod文件或是编辑文件时，检查它是否真的是一个文件，而非链接到某个关键性系统文件的符号链接（利用[ -L file] [-h file]）检测file是否为符号性链接。

找其余人从新检查你的程序，看看是否有问题。

一般另外一双眼睛才能找出原做者在程序设计上陷入的盲点。

尽量用setgid而不要用setuid

使用新的用户而不是root

若是你必须使用setuid访问一组文件，请考虑创建一个新的用户，非root的用户作这件事并设置setuid给它。

尽量限制使用setuid的代码

限制性shell

是将用户置于严格限制文件写入移动的环境中，用户多半是使用访客账号

变动工做目录：cd是没有做用的。若是尝试使用它，会收到错误信息

不容许重定向输入到文件：重定向运算符>,>|,<>,>>都不被容许，这点不包含exec的使用。

指定新值给环境变量ENV,FPATH,PATH.SHELl或试图以typeset改变它们的属性。

标题任何带有斜杠（、）的命令路径名称，shell权执行在$PATH里找到的命令。

使用builtin命令，增长新的内置命令。

 

特洛伊***

为shell脚本设置setuid坏主意

为用户设置一个用户ID这是一个特殊限位。

Ksh93与特权模式

特权模式设计就是为了对付setuid的shell脚本，这是一个set -o选项，不管什么时候当shell执行之脚本已设置setuid伴时，shell便会自动输入它，也就是说，当有效用户ID与实际用户ID不一样时。

煮酒品茶：到这里其实大章就已经看完了，不少东西其实还都没彻底懂，因此还须要翻阅屡次，从读脚本到评论脚本最后到写脚本的过程是要慢慢来的。这章的内容写的很是深刻我心，一个好的脚本就是要把全部未知和有害的因素考虑进去。故，努力吧。

<完>