有人怎么能在这个简单的 bash 脚本上注入？

Question

我不明白这怎么不安全。

./test.sh "somenumber"

我试过的任何东西都不允许任何重定向。该命令可能会失败，但我尝试过的任何输入都没有什么不好。这个对吗？

#!/bin/bash

VAR1=""

openssl req -x509 -nodes -days $VAR1 -subj /C=AA/ST=AA/L=NONE/O=NONE/OU=NONE/CN=NONE/ -newkey rsa:2048 -keyout /tmp/server.key -out /tmp/server.crt -sha256 -set_serial 0

Answer 1

ShellCheck 说：

openssl req -x509 -nodes -days $VAR1 -subj [...]
                               ^-- SC2086: Double quote to prevent globbing and word splitting.

参见例如this question & answer 为什么这是必要的。

有人怎么能在这个简单的 bash 脚本上注入？

How can someone inject on this simple bash script?

bash

code-injection

options