Wie extrahiere ich eine nicht vertrauenswürdige TAR-Datei sicher?

Ich möchte in der Lage sein, eine TAR-Datei zu extrahieren, so dass alle extrahierten Dateien unter einem bestimmten Präfixverzeichnis abgelegt werden. Jeder Versuch der tar-Dateien, in externe Verzeichnisse zu schreiben, sollte dazu führen, dass die Extraktion fehlschlägt.

Wie Sie sich vielleicht vorstellen können, kann ich auf diese Weise eine nicht vertrauenswürdige TAR-Datei sicher extrahieren.

Wie kann ich das mit GNU machen tar?

Ich hatte die Idee dass:

tar --exclude='/*' --exclude='*/../*' --exclude='../*' -xvf untrusted_file.tar

aber ich bin nicht sicher, ob das paranoid genug ist.

Sie brauchen die Paranoia überhaupt nicht. GNU tar- und in der Tat jede gut geschriebentar Programm, das in den letzten 30 Jahren oder so erstellt wurde - wird sich ..standardmäßig weigern, Dateien im Tarball zu extrahieren, die mit einem Schrägstrich beginnen oder Elemente enthalten .

Sie müssen sich sehr viel tarMühe geben , um moderne Programme dazu zu zwingen , solche potenziell bösartigen Tarballs zu extrahieren: Sowohl GNU als auch BSD tarbenötigen die -POption, um diesen Schutz zu deaktivieren. Siehe den Abschnitt Absolute Dateinamen im GNU tar-Handbuch.

Das -PFlag wird von POSIX jedoch nicht angegeben ¹, sodass andere tarProgramme möglicherweise andere Möglichkeiten haben , damit umzugehen. Zum Beispiel werden die Worte Schily Werkzeuge starProgramm Anwendungen -/und-.. , um diese Schutzfunktionen zu deaktivieren.

Das einzige, was Sie in Betracht ziehen könnten, um einen naiven tarBefehl zu ergänzen, ist ein -CFlag, das ihn zwingt, Dinge in ein sicheres temporäres Verzeichnis zu extrahieren, sodass Sie es nicht cdzuerst tun müssen .

Nebenbei :

1. Technisch tarwird von POSIX gar nicht mehr angegeben. Sie versuchten der Unix-Computerwelt mitzuteilen, dass wir paxjetzt stattdessen verwenden solltentar und verwenden sollten cpio, aber die Computerwelt ignorierte sie weitgehend.

   Hierbei ist zu beachten, dass in der POSIX-Spezifikation für paxnicht festgelegt ist, wie führende Schrägstriche oder eingebettete ..Elemente behandelt werden sollen. Es gibt ein Nicht-Standard- --insecureFlag für BSDpax , um Schutzmaßnahmen gegen eingebettete Pfadelemente zu unterdrücken .., aber anscheinend gibt es keinen Standardschutz gegen führende Schrägstriche. Die BSD- paxManpage empfiehlt indirekt, -sSubstitutionsregeln zu schreiben , um das absolute Pfadrisiko zu behandeln.

   So etwas passiert, wenn ein De-facto-Standard weiterhin aktiv verwendet wird, während der De-jure-Standard weitgehend ignoriert wird.

Mit GNU Tar ist es einfach

tar -xvf untrusted_file.tar

in einem leeren Verzeichnis. GNU tar entfernt /beim Extrahieren automatisch die Namen der führenden Mitglieder, es sei denn, mit der --absolute-namesOption wird ausdrücklich nichts anderes angegeben . GNU Tar erkennt auch, wenn die Verwendung von../ einer Datei extrahiert außerhalb des Toplevel - Verzeichnis und legt die Dateien im Hauptverzeichnis verursachen würde , anstatt sein, zum Beispiel eine Komponente foo/../../bar/quxals extrahiert werden bar/quxin der Top - Level - Verzeichnis anstatt bar/quxim Stamm des Toplevel - Verzeichnis . GNU tar kümmert sich auch um symbolische Links, die außerhalb des Toplevel-Verzeichnisses verweisen, foo -> ../..und foo/barwird nicht dazu veranlasst bar, außerhalb des Toplevel-Verzeichnisses extrahiert zu werden.

Beachten Sie, dass dies nur für (ausreichend aktuelle Versionen von) GNU tar gilt (sowie für einige andere Implementierungen, z. B. * BSD tar und BusyBox tar). Einige andere Implementierungen haben keinen solchen Schutz.

Aufgrund von symbolischen Links würden die von Ihnen verwendeten Schutzfunktionen nicht ausreichen: Das Archiv könnte einen symbolischen Link enthalten, der auf ein Verzeichnis außerhalb des Baums verweist, und Dateien in diesem Verzeichnis extrahieren. Es gibt keine Möglichkeit, dieses Problem allein anhand der Mitgliedsnamen zu lösen. Sie müssen das Ziel symbolischer Links untersuchen.

Beachten Sie, dass die Garantie möglicherweise nicht mehr gültig ist, wenn Sie in ein Verzeichnis extrahieren, das bereits symbolische Links enthält.

Um ein paar Punkte abzudecken, haben die anderen Antworten nicht:

1. Schauen Sie zuerst nach, was in der Datei enthalten ist, bevor Sie sie extrahieren:

   tar -tvf untrusted_tar_file.tar
   

   Wenn es irgendetwas gibt, dem Sie nicht vertrauen oder das Sie extrahieren möchten, extrahieren Sie nicht das Archiv.

2. Als zweites extrahieren Sie den Tarball als Nicht-Root-Benutzer, der nur Schreibzugriff auf das eine Verzeichnis hat, in das Sie den Tarball extrahieren. Extrahieren Sie beispielsweise den Tarball aus dem Basisverzeichnis des Nicht-Root-Benutzers.