Est-il possible d'utiliser `find -exec sh -c` en toute sécurité?

Je suis en train d'utiliser findpour echo 0dans certains fichiers, mais apparemment , cela fonctionne uniquement avec sh -c:

find /proc/sys/net/ipv6 -name accept_ra -exec sh -c 'echo 0 > {}' \;

Mais utiliser sh -cavec find -execme fait me sentir très mal à l'aise parce que je soupçonne de citer des problèmes. J'en ai un peu tripoté et apparemment mes soupçons étaient justifiés:

• Ma configuration de test:

  martin@dogmeat ~ % cd findtest 
  martin@dogmeat ~/findtest % echo one > file\ with\ spaces
  martin@dogmeat ~/findtest % echo two > file\ with\ \'single\ quotes\'
  martin@dogmeat ~/findtest % echo three > file\ with\ \"double\ quotes\"
  martin@dogmeat ~/findtest % ll
  insgesamt 12K
  -rw-rw-r-- 1 martin martin 6 Sep 17 12:01 file with "double quotes"
  -rw-rw-r-- 1 martin martin 4 Sep 17 12:01 file with 'single quotes'
  -rw-rw-r-- 1 martin martin 4 Sep 17 12:01 file with spaces

• Utiliser find -execsans sh -csemble fonctionner sans problème - aucune citation n'est nécessaire ici:

  martin@dogmeat ~ % find findtest -type f -exec cat {} \;
  one
  two
  three

• Mais lorsque j'utilise sh -c {}semble nécessiter une sorte de citation:

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c 'cat {}' \;
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: spaces: No such file or directory
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: single quotes: No such file or directory
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: double quotes: No such file or directory

• Les guillemets doubles fonctionnent tant qu'aucun nom de fichier ne contient de guillemets doubles:

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c 'cat "{}"' \;
  one
  two
  cat: findtest/file with double: No such file or directory
  cat: quotes: No such file or directory

• Les guillemets simples fonctionnent tant qu'aucun nom de fichier ne contient de guillemets simples:

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c "cat '{}'" \;
  one
  cat: findtest/file with single: No such file or directory
  cat: quotes: No such file or directory
  three

Je n'ai pas trouvé de solution qui fonctionne dans tous les cas. Y at - il quelque chose que je donne sur, ou utilise sh -cen find -execsoi dangereux?

Ne jamais intégrer {}dans le code shell! Cela crée une vulnérabilité d'injection de commande. Notez que pour cat "{}", il est non seulement sur les "personnages, \, `, $sont aussi un problème (considérer par exemple un fichier appelé ./$(reboot)/accept_ra).

^{(au fait, certaines findimplémentations ne vous permettent pas de le faire, et POSIX laisse le comportement non spécifié lorsqu'il {}n'est pas seul dans un argument à find)}

Ici, vous souhaitez transmettre les noms de fichiers en tant qu'arguments séparés à sh(pas dans l' argument de code ), et le shscript en ligne (l' argument de code ) pour y faire référence en utilisant des paramètres de position:

find . -name accept_ra -exec sh -c 'echo 0 > "$1"' sh {} \;

Ou, pour éviter d'en exécuter un shpar fichier:

find . -name accept_ra -exec sh -c 'for file do
  echo 0 > "$file"; done' sh {} +

De même pour xargs -I{}ou zsh« s zargs -I{}. N'écris pas:

<list.txt xargs -I {} sh -c 'cmd> {}'

Ce qui serait une vulnérabilité d'injection de commande de la même manière que findci-dessus, mais:

<list.txt xargs sh -c 'for file do cmd > "$file"; done' sh

Ce qui a également l'avantage d'éviter d'en exécuter un shpar fichier et l'erreur quand list.txtne contient aucun fichier.

Avec zsh's zargs, vous voudrez probablement utiliser une fonction plutôt que d'invoquer sh -c:

do-it() cmd > $1
zargs ./*.txt -- do-it

Notez que dans tous les exemples ci-dessus, le second shci-dessus va dans le script en ligne $0. Vous devez utiliser quelque chose de pertinent là (comme shou find-sh), pas des choses comme _, -, --ou la chaîne vide, comme la valeur $0est utilisée pour les messages d'erreur du shell:

$ find . -name accept_ra -exec sh -c 'echo 0 > "$1"' inline-sh {} \;
inline-sh: ./accept_ra: Permission denied

GNU parallelfonctionne différemment. Avec elle, vous ne pas à utiliser sh -ccomme parallelne lancer un shell déjà et tente de remplacer {}l'argument cité dans la bonne syntaxe pour le shell .

<list.txt PARALLEL_SHELL=sh parallel 'cmd > {}'