+
ラボ shell-injection
+
+これはセキュアなソフトウェア開発に関するラボ演習です。
+ラボの詳細については、概要をご覧ください。
+
+
+
タスク
+
+シェルインジェクション脆弱性を取り除きます
+
+
+
背景
+
+多くのケースでプログラマは作成したアプリケーションからシステムコマンドを実行します。
+これには複数の理由があります：複雑なツールを実行したい、他のツールが持つ機能を再度プログラムすることを避けたい、単純にアプリケーション（これはしばしば Web アプリケーションです）がサーバシステム上でツールを実行するためのインターフェースになっている、など。
+しかしながら、誤った方法による実行は脆弱性につながります。
+
+
+
+呼び出す外部のツールに渡されるパラメータは、非常に多くのケースで静的（いつも同じ値）ではありません。
+一つまたは複数のパラメータは、信頼できないユーザから与えらえれます。
+例えばそれは、プロジェクト名などかもしれません。
+どうしてもシェルが必要という場合でない限り、アプリケーションがこれらのパラメータをシェル経由で渡す必要は全くありません。
+
+
+
+さらに、
+アプリケーションは与えられたパラメータを慎重に扱い、 コマンドの末尾（多くの場合「;」）などの特殊文字が含まれていないことを確認する必要があります。そうしないと、攻撃者が入力内容を巧妙に操作し、アプリケーションに用意されているコマンドに加えて任意のコマンドを実行できてしまう可能性があります。
+これは、許可リスト（allowlist）、つまり許可するコマンドを明示的にリストする（それ以外の全てのコマンドを禁止する）ことで実現できます。
+
+
+
+
タスクの詳細
+
+このタスクでは、シェルコマンドインジェクションが発生し得る状況を修正します。
+様々なユーザ入力によって何が起こるかをそれぞれテストしてみたくなるかもしれません。
+
+
+
+ここでのシナリオはシンプルです。Python アプリケーションによって、アプリケーションがデータ処理に使うテンポラリディレクトリの中のファイルをリストしたいとします。
+元々のコードはこうなっています。
+
+
+
subprocess.run("ls -l", shell=True)
+
+
+そこへ他の開発者が、ユーザが入力したディレクトリ名をそのまま格納した dir_to_list という変数を入力とする以下のコードを追加しました。
+
def list_directory(dir_to_list):
+ subprocess.run(f"ls -l {dir_to_list}", shell=True)
+
+
+
+これはシェルインジェクションに対する脆弱性を含んでいます。
+攻撃者は、シェルによって実行される任意のテキストをパラメータに埋め込むことができます。
+安全な文字だけが処理されるようにする必要があります。さらに、 シェルの起動はここでは全く 必要ありません。
+この２つのステップを踏むことで、攻撃者が回避策を見つけることをはるかに困難にできます。
+
+
+
+ヒントをいくつか。
+文字列には英数字のみが含まれるように修正する必要があります。
+Python の re.sub(PATTERN, REPLACETEXT, ORIGINAL_VALUE)
+は、ORIGINAL_VALUE にある PATTERN を REPLACETEXT に変換した結果を返します。
+ここで PATTERN は文字列として書かれた正規表現です。
+re.sub はデフォルトでマッチした全ての部分を置換します（これはここで望まれる挙動です）。
+Python における正規表現は、通常「raw文字列」、つまり r'...' の形式で表記されます。
+Python の subprocess.run によるシェルの起動をやめることと、更に引数を分離する必要があります。
+
+
+
+公平のため補足すると、典型的な Python プログラムは直接 "ls" を呼び出しません。
+今後シェルを呼び出す必要もあると思われるので、ここでは例をシンプルに保つために直接呼び出すことにしています。
+
+
+
+必要に応じて、「ヒント」ボタンと「諦める」ボタンを使用してください。
+
+
+
+
演習 ()
+
+以下の関数を安全に書き換えてください。
+
+
+