Чи можна безпечно використовувати `find -exec sh -c`?

Я намагаюся використовувати , findщоб echo 0в деякі файли, але , мабуть , це працює тільки з sh -c:

find /proc/sys/net/ipv6 -name accept_ra -exec sh -c 'echo 0 > {}' \;

Але використання sh -cз допомогою find -execмене відчуває себе дуже непросто, тому що я підозрюю проблеми з цитуванням. Я трохи посварився з цим і, мабуть, мої підозри були виправдані:

• Моя тестова установка:

  martin@dogmeat ~ % cd findtest 
  martin@dogmeat ~/findtest % echo one > file\ with\ spaces
  martin@dogmeat ~/findtest % echo two > file\ with\ \'single\ quotes\'
  martin@dogmeat ~/findtest % echo three > file\ with\ \"double\ quotes\"
  martin@dogmeat ~/findtest % ll
  insgesamt 12K
  -rw-rw-r-- 1 martin martin 6 Sep 17 12:01 file with "double quotes"
  -rw-rw-r-- 1 martin martin 4 Sep 17 12:01 file with 'single quotes'
  -rw-rw-r-- 1 martin martin 4 Sep 17 12:01 file with spaces

• Використання find -execбез, sh -cздається, працює без проблем - тут не потрібно цитувати:

  martin@dogmeat ~ % find findtest -type f -exec cat {} \;
  one
  two
  three

• Але коли я використовую, sh -c {}схоже, потрібне якесь цитування:

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c 'cat {}' \;
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: spaces: No such file or directory
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: single quotes: No such file or directory
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: double quotes: No such file or directory

• Подвійні лапки працюють до тих пір, поки жодне ім'я файлу не містить подвійних лапок:

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c 'cat "{}"' \;
  one
  two
  cat: findtest/file with double: No such file or directory
  cat: quotes: No such file or directory

• Одинові лапки працюють до тих пір, поки жодне ім'я файлу не містить одиничних лапок:

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c "cat '{}'" \;
  one
  cat: findtest/file with single: No such file or directory
  cat: quotes: No such file or directory
  three

Я не знайшов рішення, яке працює у всіх випадках. Чи є щось, що я не помічаю, або використовую sh -cпо find -execсвоїй суті небезпечно?

Ніколи не вкладайте {}код оболонки! Це створює вразливість введення команд. Зверніть увагу , що для cat "{}", це не тільки про "персонажах, \, `, $також є проблемою (розглянути, наприклад , файл з ім'ям ./$(reboot)/accept_ra).

^{(до речі, деякі findреалізації не дозволяють вам це робити, а POSIX залишає поведінку не визначеною, коли {}вона не є власною в аргументі find)}

Тут ви хочете передати назви файлів як окремі аргументи sh(не в аргументі коду ) та shвбудований скрипт ( аргумент коду ) для посилання на них за допомогою позиційних параметрів:

find . -name accept_ra -exec sh -c 'echo 0 > "$1"' sh {} \;

Або щоб уникнути запуску одного shфайлу:

find . -name accept_ra -exec sh -c 'for file do
  echo 0 > "$file"; done' sh {} +

Те саме стосується xargs -I{}або zshs zargs -I{}. Не пишіть:

<list.txt xargs -I {} sh -c 'cmd> {}'

Що було б вразливістю командної ін'єкції таким же чином, як і findвище, але:

<list.txt xargs sh -c 'for file do cmd > "$file"; done' sh

Що також має перевагу уникнути запуску одного shфайлу та помилки, коли list.txtвін не містить жодного файлу.

З zsh'я zargs, ви, ймовірно, хочете використовувати функцію, а не викликати sh -c:

do-it() cmd > $1
zargs ./*.txt -- do-it

Зауважте, що у всіх прикладах, наведених вище, другий shвище входить в сценарій вбудованого сценарію $0. Ви повинні використовувати що - то відповідне там (як shі find-sh), а не речі , як _, -, --або порожній рядок, в якості значення в $0використовується для повідомлень про помилки оболонкових:

$ find . -name accept_ra -exec sh -c 'echo 0 > "$1"' inline-sh {} \;
inline-sh: ./accept_ra: Permission denied

GNU parallelпрацює інакше. З його допомогою ви не хочете використовувати так, sh -cяк parallelвже запускає оболонку, і намагається замінити {}аргументом, наведеним у правильному синтаксисі оболонки .

<list.txt PARALLEL_SHELL=sh parallel 'cmd > {}'