Skip to content

Commit 5e33c0f

Browse files
david-a-wheelerdavid-a-wheeler
authored
Merge pull request #906 from Muuhh-CTJ/jp-translation-shell-injection
Japanese translation of shell-injection
2 parents 86849e0 + f36b5d4 commit 5e33c0f

File tree

2 files changed

+151
-0
lines changed

2 files changed

+151
-0
lines changed

‎docs/labs/ja_shell-injection.html‎

Lines changed: 127 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,127 @@
1+
<!DOCTYPE html>
2+
<html lang="ja">
3+
<head>
4+
<meta http-equiv="X-UA-Compatible" content="IE=edge">
5+
<meta charset="utf-8">
6+
<meta name="viewport" content="width=device-width, initial-scale=1">
7+
<link rel="stylesheet" href="https://best.openssf.org/assets/css/style.css">
8+
<link rel="stylesheet" href="checker.css">
9+
<script src="checker.js"></script>
10+
<script src="shell-injection.js"></script>
11+
<link rel="license" href="https://creativecommons.org/licenses/by/4.0/">
12+
13+
<!-- See create_labs.md for how to create your own lab! -->
14+
15+
</head>
16+
<body>
17+
<!-- For GitHub Pages formatting: -->
18+
<div class="container-lg px-3 my-5 markdown-body">
19+
<h1>ラボ shell-injection</h1>
20+
<p>
21+
これはセキュアなソフトウェア開発に関するラボ演習です。
22+
ラボの詳細については、<a href="ja_introduction.html" target="_blank">概要</a>をご覧ください。
23+
24+
<p>
25+
<h2>タスク</h2>
26+
<p>
27+
<b>シェルインジェクション脆弱性を取り除きます</b>
28+
29+
<p>
30+
<h2>背景</h2>
31+
<p>
32+
多くのケースでプログラマは作成したアプリケーションからシステムコマンドを実行します。
33+
これには複数の理由があります：複雑なツールを実行したい、他のツールが持つ機能を再度プログラムすることを避けたい、単純にアプリケーション（これはしばしば Web アプリケーションです）がサーバシステム上でツールを実行するためのインターフェースになっている、など。
34+
しかしながら、誤った方法による実行は脆弱性につながります。
35+
</p>
36+
37+
<p>
38+
呼び出す外部のツールに渡されるパラメータは、非常に多くのケースで静的（いつも同じ値）ではありません。
39+
一つまたは複数のパラメータは、信頼できないユーザから与えらえれます。
40+
例えばそれは、プロジェクト名などかもしれません。
41+
どうしてもシェルが必要という場合でない限り、アプリケーションがこれらのパラメータをシェル経由で渡す必要は全くありません。
42+
</p>
43+
44+
<p>
45+
さらに、
46+
アプリケーションは与えられたパラメータを慎重に扱い、 コマンドの末尾（多くの場合「;」）などの特殊文字が含まれていないことを確認する必要があります。そうしないと、攻撃者が入力内容を巧妙に操作し、アプリケーションに用意されているコマンドに加えて任意のコマンドを実行できてしまう可能性があります。
47+
これは、許可リスト（allowlist）、つまり許可するコマンドを明示的にリストする（それ以外の全てのコマンドを禁止する）ことで実現できます。
48+
</p>
49+
50+
<p>
51+
<h2>タスクの詳細</h2>
52+
<p>
53+
このタスクでは、シェルコマンドインジェクションが発生し得る状況を修正します。
54+
様々なユーザ入力によって何が起こるかをそれぞれテストしてみたくなるかもしれません。
55+
</p>
56+
57+
<p>
58+
ここでのシナリオはシンプルです。Python アプリケーションによって、アプリケーションがデータ処理に使うテンポラリディレクトリの中のファイルをリストしたいとします。
59+
元々のコードはこうなっています。
60+
</p>
61+
62+
<pre><code> subprocess.run("ls -l", shell=True)</code></pre>
63+
64+
<p>
65+
そこへ他の開発者が、ユーザが入力したディレクトリ名をそのまま格納した <tt>dir_to_list</tt> という変数を入力とする以下のコードを追加しました。
66+
<pre><code>def list_directory(dir_to_list):
67+
subprocess.run(f"ls -l {dir_to_list}", shell=True)
68+
</pre></code>
69+
70+
<p>
71+
これはシェルインジェクションに対する脆弱性を含んでいます。
72+
攻撃者は、シェルによって実行される任意のテキストをパラメータに埋め込むことができます。
73+
安全な文字だけが処理されるようにする必要があります。<i>さらに、</i> シェルの起動はここでは全く <i>必要ありません。</i>
74+
この２つのステップを踏むことで、攻撃者が回避策を見つけることをはるかに困難にできます。
75+
</p>
76+
77+
<p>
78+
ヒントをいくつか。
79+
文字列には英数字のみが含まれるように修正する必要があります。
80+
Python の <tt>re.sub(PATTERN, REPLACETEXT, ORIGINAL_VALUE)</tt>
81+
は、<tt>ORIGINAL_VALUE</tt> にある <tt>PATTERN</tt> を <tt>REPLACETEXT</tt> に変換した結果を返します。
82+
ここで <tt>PATTERN</tt> は文字列として書かれた正規表現です。
83+
<tt>re.sub</tt> はデフォルトでマッチした全ての部分を置換します（これはここで望まれる挙動です）。
84+
Python における正規表現は、通常「raw文字列」、つまり <tt>r'...'</tt> の形式で表記されます。
85+
Python の <tt>subprocess.run</tt> によるシェルの起動をやめることと、更に引数を分離する必要があります。
86+
</p>
87+
88+
<p>
89+
公平のため補足すると、典型的な Python プログラムは直接 "ls" を呼び出しません。
90+
今後シェルを呼び出す必要もあると思われるので、ここでは例をシンプルに保つために直接呼び出すことにしています。
91+
</p>
92+
93+
<p>
94+
必要に応じて、「ヒント」ボタンと「諦める」ボタンを使用してください。
95+
</p>
96+
97+
<p>
98+
<h2>演習 (<span id="grade"></span>)</h2>
99+
<p>
100+
以下の関数を安全に書き換えてください。
101+
<p>
102+
<form id="lab">
103+
<pre><code>def list_directory(dir_to_list):
104+
# ディレクトリ名が a-zA-Z0-9 のみを含むよう修正してください
105+
<textarea id="attempt0" rows="2" cols="60" spellcheck="false">
106+
clean_dir = dir_to_list
107+
</textarea>
108+
# 安全な方法で subprocess を使用してください
109+
<textarea id="attempt1" rows="2" cols="60" spellcheck="false">
110+
subprocess.run(f"ls -l {dir_to_list}", shell=True)
111+
</textarea>
112+
</code></pre>
113+
<button type="button" class="hintButton">ヒント</button>
114+
<button type="button" class="resetButton">リセット</button>
115+
<button type="button" class="giveUpButton">諦める</button>
116+
<br><br>
117+
<p>
118+
<i>このラボは Marta Rybczynska によって開発されました。</i>
119+
<br><br>
120+
<p>
121+
<p id="correctStamp" class="small">
122+
<textarea id="debugData" class="displayNone" rows="20" cols="65" readonly>
123+
</textarea>
124+
</form>
125+
</div><!-- End GitHub pages formatting -->
126+
</body>
127+
</html>

0 commit comments

Comments
 (0)