Ich möchte ein bestimmtes Bash-Skript namens 42FileChecker mit den folgenden Befehlen installieren:

git clone https://github.com/jgigault/42FileChecker ~/42FileChecker &&
    cd ~/42FileChecker &&
    bash ./42FileChecker.sh

Aber ich weiß nicht, ob 42FileChecker.sh irgendwelche seltsamen Dinge auf meinem PC macht, weil ich Anfänger bin und nicht weiß, was in diesem Skript passiert. Gibt es eine Möglichkeit, es in einem Dummy-Terminal oder einem Dummy-Stammordner oder ähnlichem auszuführen, um zu sehen, was passiert, damit ich etwas Verrücktes wie das Formatieren meiner Laufwerke vermeide. Ich würde gerne wissen, wie ich Shells auch für zukünftige Shellskripte testen kann, selbst wenn 42FileChecker.sh sicher ist.

Ich bin kein Experte in diesem Bereich, aber ich würde empfehlen, straceund zu verwenden docker.

Erstellen Sie also zuerst einen Docker-Container, wie in dieser Antwort beschrieben . Aber der Zusatz, der ist, dass strace Ihnen sagt, welche Systemaufrufe gemacht werden. Oder um zu zitieren:

strace ist ein Diagnose-, Debugging- und Einweisungsdienstprogramm für Linux. Es wird verwendet, um die Interaktionen zwischen Prozessen und dem Linux-Kernel zu überwachen und zu manipulieren, einschließlich Systemaufrufen, Signalzustellungen und Änderungen des Prozesszustands.

Sie können diese Befehle zu kombinieren

docker exec -it ubuntu_container strace bash ./42FileChecker.sh

Wenn Sie nicht sicher sind, was ein Skript bewirkt, sollten Sie es besser erst ausführen, wenn Sie sicher sind, was es bewirkt. Um den Schadensradius eines fehlerhaften Skripts zu verringern, können Sie es unter Verwendung eines neuen Benutzers, in einem Container oder in einer virtuellen Maschine ausführen. Die erste Aussage lautet jedoch immer noch: Wenn Sie sich nicht sicher sind, was etwas bewirkt, sollten Sie sie erst ausführen, wenn Sie dies tun.

Wie @ctt sagte, ist es wahrscheinlich eine gute Idee, es zuerst in einer Sandbox auszuführen. Die Verwendung einer VM ist wahrscheinlich die einfachste Lösung. Multipass ist ziemlich einfach.

Installieren Sie multipass (sofern Sie dies noch nicht getan haben):

sudo snap install multipass --beta --classic

Starten Sie eine neue VM:

multipass launch --name myvm

Melden Sie sich bei Ihrer neuen VM an:

multipass shell myvm

Führen Sie dann Ihr Skript (in Ihrem VM) aus:

multipass@myvm:~$ git clone https://github.com/jgigault/42FileChecker ~/42FileChecker && cd ~/42FileChecker && bash ./42FileChecker.sh

Da die Schule, die Sie besuchen, die Skripte veröffentlicht hat, können Sie Ihre Bedenken am besten bei Ihren Lehrern äußern.

Wir können Ihnen jedoch helfen, den Code zeilenweise zu entschlüsseln. Es ist wahrscheinlich für jeden hier unpraktisch, den gesamten Code zu analysieren .

Sie haben tatsächlich 40 Bash-Skripte mit insgesamt 5.360 Zeilen. Ich habe sie kombiniert und nach Bash / Shell-Befehlen gesucht, die missbraucht werden könnten. Sie scheinen alle normal verwendet zu werden :

$ cat /tmp/sshellcheck.mrg | grep " rm "

      rm -rf "$RETURNPATH"/tmp/*
      rm -f "$RETURNPATH"/.mynorminette
    rm -f $LOGFILENAME
    rm -f $LOGFILENAME
      rm -f .mymoulitest
        rm -f "${RETURNPATH}/tmp/${FILEN}"

$ cat /tmp/sshellcheck.mrg | grep -i kill

  function check_kill_by_name
          kill $PROCESSID0
  declare -a CHK_MINISHELL_AUTHORIZED_FUNCS='(malloc free access open close read write opendir readdir closedir getcwd chdir stat lstat fstat fork execve wait waitpid wait3 wait4 signal kill exit main)'
        check_kill_by_name "${PROGNAME}"
      kill -0 "${CURRENT_CHILD_PROCESS_PID}" 2>/dev/null && kill "${CURRENT_CHILD_PROCESS_PID}" 2>/dev/null
      display_error "killed pid: ${CURRENT_CHILD_PROCESS_PID}"
    check_kill_by_name "$PROGNAME $PROGARGS"
        check_kill_by_name "$PROGNAME $PROGARGS"
        kill ${PID} 2>/dev/null

$ cat /tmp/sshellcheck.mrg | grep -i root

      "check_configure_select ROOT" "Root folder:          /"\
      'ROOT')
        echo "'${ALLOWED_FILES}' must be placed at root folder but was found here:" >>"${LOGFILENAME}"
        printf "%s" "'${ALLOWED_FILES}' must be placed at root folder"

$ cat /tmp/sshellcheck.mrg | grep -i sudo

$ 

• Es gibt keinen rm -rf /Befehl zum Löschen der gesamten Festplattenpartition.
• sudoZum Ausführen des Skripts ist keine Verwendung erforderlich .
• Das Skript stellt tatsächlich sicher, dass nur autorisierte CFunktionen in den überprüften Dateien verwendet werden.
• Ein kurzer Blick in den Bash / Shell-Code zeigt, dass er professionell geschrieben und leicht zu befolgen ist.
• Die Verwendung von Shellcheck für zusammengeführte Include-Dateien zeigt nur drei Syntaxfehler an.
• Autorennamen werden identifiziert und der Hauptautor hat sogar sein Bild auf seiner githubSeite.
• Obwohl es im Leben keine Garantien gibt, 42FileCheckerscheint es sicher zu sein.

Es sind keine von Menschen lesbaren Bash-Skripte, über die Sie sich so viele Gedanken machen müssen. Es sind kompilierte, nicht lesbare Binärobjekte, die Anlass zur Sorge geben. Zum Beispiel könnte ein Programm namens "shiny-bouncy-sphere" so etwas auf Ihren Bildschirm malen, aber im Hintergrund könnten alle Ihre Dateien gelöscht werden.

Ursprüngliche Antwort

Fragen Sie am besten den Autor des Skripts, was es tut. In der Tat können Sie Ihre Frage fast wörtlich posten, wie es oben erscheint.

Fragen Sie auch den Autor:

• Welche Dateien werden aktualisiert?
• Was passiert bei einem Absturz aufgrund eines Stromausfalls oder eines Programmfehlers?
• Kann zuerst ein Mini-Backup durchgeführt werden?

Und alle anderen guten Fragen, die Sie sich vorstellen können.

Bearbeiten 1 - Sorgen um einen böswilligen Autor.

Sie sollten nur Software mit vielen guten Bewertungen verwenden. Andere Autoren, denen Sie hier in Ask Ubuntu vertrauen, wie Serge, Jacob, Colin King usw. Andere angesehene Websites wie Ask Ubuntu und ihre angesehenen Mitglieder sollten ebenfalls als "nicht böswillig" eingestuft werden.

Der Vorteil von "respektierten Autoren" hier in Ask Ubuntu ist, dass sie ihren Selbstwert auf "Reputationspunkte" legen. Wenn sie absichtlich Code schreiben, der Daten "stiehlt" oder "beschädigt", verlieren sie schnell ihren Ruf. Tatsächlich könnten Autoren den "Zorn der Mods" erleiden und suspendiert und / oder 10.000 Reputationspunkte weggenommen werden.

Bearbeiten 2 - Befolgen Sie nicht alle Anweisungen

Ich habe mir Ihre Bash-Skript-Anweisungen genauer angesehen:

git clone https://github.com/jgigault/42FileChecker ~/42FileChecker &&
    cd ~/42FileChecker &&
    bash ./42FileChecker.sh

Die "sichere" Methode besteht darin, nur die erste Zeile auszuführen:

git clone https://github.com/jgigault/42FileChecker ~/42FileChecker

Dadurch werden die Skripte heruntergeladen, aber nicht ausgeführt. Verwenden Sie anschließend nautilus(Dateimanager), um die installierten Verzeichnisse und Dateien zu überprüfen. Sehr schnell stellt man fest, dass es eine Sammlung von Bash-Skripten gibt, die von einer Gruppe von Studenten in Frankreich geschrieben wurden.

Der Zweck der Skripte besteht darin, C-Programme auf fehlerhafte Funktionen und Speicherlecks zu kompilieren und zu testen.

Sie können Docker verwenden. Docker-Container sind vom Host-Betriebssystem isoliert, sodass alle böswilligen Aktivitäten in einem Container verbleiben, sofern Sie sie nicht durch Weiterleiten von Ports oder Mounten von Dateisystemen explizit freigeben.

So installieren Sie Docker:

sudo apt-get install docker.io

So laden Sie einen neuen Ubuntu Bionic-Container herunter:

docker pull ubuntu:bionic

Danach loggen Sie sich in den Container ein

docker run -it ubuntu:bionic

und führe die zweifelhafte Operation darin aus:

git clone https://github.com/jgigault/42FileChecker ~/42FileChecker && cd ~/42FileChecker && bash ./42FileChecker.sh

Verwenden Sie den Debugging-Modus, indem Sie das Skript wie folgt ausführen:

$ bash -x scriptname

Weitere nützliche Bash- Informationen

Der Debugging-Modus hindert das Skript nicht daran, etwas Schlechtes zu tun, sondern lässt Sie das Skript Zeile für Zeile durchgehen und die Auswirkungen untersuchen. Sie können das Skript auch auf einige häufig auftretende potenzielle Fehler und / oder Exploits überprüfen, z rm. Viele dieser Tools etwas Hilfe haben für den Versuch , sie aus eingebaut, zB rm wird kein Verzeichnis standardmäßig zu löschen, braucht es die -r, -Roder --recursiveOption , dies zu tun.

Möglicherweise gibt es sogar einige Antivirus-ähnliche Tools, die ein Bash-Skript nach diesen Mustern durchsuchen, mir sind jedoch keine mit Namen bekannt. Ihre Beispielskripte sind insofern besonders fragwürdig, als sie andere Tools herunterladen. Daher sollte auch jedes dieser Tools untersucht werden. Es kann sich auch lohnen zu überprüfen, mit welchen Servern sie Kontakt aufnehmen.

Die relevanten Informationen für eine Antwort sind leider nur in einem Ihrer Kommentare enthalten:

Ich lerne C im Ecole 42 Kurs. Die Funktionen, die ich mache, müssen diese Normprüfung durchlaufen. Ich muss den 42FileChecker in Ubuntu installieren, um diese Normprüfung auszuführen.

So ist die Situation , dass in der Praxis Sie haben die Möglichkeit , den Kurs gehen, oder Sie können das Skript ausführen , um normative Kontrollen auf Ihren Quellen auszuführen. Ein Gespräch mit Ihrem Lehrer ist aufgrund des Mangels an ersteren kaum eine Option (ansonsten wäre es sowieso keine Option, da keine Schule ihr Verfahren ändern wird, da ein Schüler damit nicht zufrieden ist).
Die Frage, was zu tun ist, um einen möglichen Schaden durch dieses Skript zu begrenzen, stellt sich daher nicht einmal. Es ist kein zufälliges Drehbuch, das ein geiles Mädchen mit großen Brüsten dir per E-Mail geschickt hat und das du laufen musst, um ihr Bild zu sehen .
Du machst einen Programmierkurs. DiesHier kam dieses Skript ins Spiel. Die Frage ist, ob Sie die Rahmenbedingungen für den erfolgreichen Abschluss des Kurses einhalten möchten oder nicht.

Wenn Sie sich jedoch ernsthaft Sorgen machen, besteht immer noch die Möglichkeit, das Skript in einem Container oder einer virtuellen Maschine auszuführen und Ihre Quellen in einem freigegebenen Ordner oder auf einer Netzwerkfreigabe abzulegen, die von dem Container / der virtuellen Maschine bereitgestellt wird. Das ist so ziemlich der ganze Paranoia-Pfad, aber Virtualisierung ist heutzutage nicht wirklich kompliziert und kostet auch nicht viel.

Abgesehen von der unwahrscheinlichen Möglichkeit einer wirklich harten Exploits, die in diesem Skript enthalten ist , in wie jeder Nicht-Root - Benutzer anmelden (die man kaum eine andere Wahl haben , sonst tun auf Ubuntu) und die Vermeidung zu geben sudo ohne ersichtlichen Grund ziemlich verhindert 99% alles schlechte Dinge, die sowieso möglicherweise passieren könnten. Zum Beispiel das Formatieren der Festplatte, um die Sie sich Sorgen machen. Ein normaler Benutzer kann das einfach nicht. Das Schlimmste ist, dass das Skript das Home-Verzeichnis des Benutzers löscht. Also was, eigentlich kein Problem.