「find -exec sh -c」を安全に使用できますか？

私はいくつかのファイルに使用しようとfindしecho 0ていますが、明らかにこれはsh -c：

find /proc/sys/net/ipv6 -name accept_ra -exec sh -c 'echo 0 > {}' \;

しかし、sh -cwith find -execを使用すると、引用の問題が疑われるため、非常に不安になります。私はそれを少しいじりましたが、明らかに私の疑念は正当化されました：

• 私のテスト設定：

  martin@dogmeat ~ % cd findtest 
  martin@dogmeat ~/findtest % echo one > file\ with\ spaces
  martin@dogmeat ~/findtest % echo two > file\ with\ \'single\ quotes\'
  martin@dogmeat ~/findtest % echo three > file\ with\ \"double\ quotes\"
  martin@dogmeat ~/findtest % ll
  insgesamt 12K
  -rw-rw-r-- 1 martin martin 6 Sep 17 12:01 file with "double quotes"
  -rw-rw-r-- 1 martin martin 4 Sep 17 12:01 file with 'single quotes'
  -rw-rw-r-- 1 martin martin 4 Sep 17 12:01 file with spaces
  

• find -execwithout を使用してもsh -c問題なく動作するようです。ここでは引用符は不要です。

  martin@dogmeat ~ % find findtest -type f -exec cat {} \;
  one
  two
  three
  

• しかし、私が使用してsh -c {}いるときは、ある種の引用が必要なようです：

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c 'cat {}' \;
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: spaces: No such file or directory
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: single quotes: No such file or directory
  cat: findtest/file: No such file or directory
  cat: with: No such file or directory
  cat: double quotes: No such file or directory
  

• ファイル名に二重引用符が含まれていない限り、二重引用符は機能します。

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c 'cat "{}"' \;
  one
  two
  cat: findtest/file with double: No such file or directory
  cat: quotes: No such file or directory
  

• ファイル名に単一引用符が含まれていない限り、単一引用符は機能します。

  martin@dogmeat ~ % LANG=C find findtest -type f -exec sh -c "cat '{}'" \;
  one
  cat: findtest/file with single: No such file or directory
  cat: quotes: No such file or directory
  three
  

すべてのケースで機能するソリューションは見つかりませんでした。私が見落としているもの、または本質的に安全ではないものを使用sh -cしていfind -execますか？

{}シェルコードに埋め込まないでください！これにより、コマンドインジェクションの脆弱性が作成されます。以下のためにことに注意してくださいcat "{}"、それがないだけのことだ"文字、\、`、$また問題である（例えばと呼ばれるファイルを考えます./$(reboot)/accept_ra）。

^{（ちなみに、一部のfind実装ではそれができません。POSIX{}は、の引数にそれ自体がない場合、動作を指定しませんfind）}

ここでは、ファイル名をsh（コード引数ではなく）別の引数として渡し、shインラインスクリプト（コード引数）を使用して、位置パラメーターを使用してそれらを参照します。

find . -name accept_ra -exec sh -c 'echo 0 > "$1"' sh {} \;

または、shファイルごとに1 つ実行しないようにするには：

find . -name accept_ra -exec sh -c 'for file do
  echo 0 > "$file"; done' sh {} +

同じことが、にも適用されるxargs -I{}かzshのzargs -I{}。書かないでください：

<list.txt xargs -I {} sh -c 'cmd> {}'

find上記と同じ方法でコマンドインジェクションの脆弱性になりますが、次のようになります。

<list.txt xargs sh -c 'for file do cmd > "$file"; done' sh

また、shファイルごとに1 つ実行するのを避ける利点もあり、list.txtファイルが含まれていない場合はエラーが発生します。

とzshのはzargs、おそらく呼び出すのではなく、機能を使用したいと思いますsh -c：

do-it() cmd > $1
zargs ./*.txt -- do-it

上記のすべての例で、上記の2番目shはインラインスクリプトのになり$0ます。あなたは（のようにそこに関連する何かを使用する必要がありますshかfind-sh）、いないようなもの_、-、--の値は以下のように、または空の文字列を$0シェルのエラーメッセージに使用されます。

$ find . -name accept_ra -exec sh -c 'echo 0 > "$1"' inline-sh {} \;
inline-sh: ./accept_ra: Permission denied

GNUのparallel動作は異なります。これを使用すると、すでにシェルを実行しているように使用したくないため、シェルの正しい構文で引用された引数に置き換えようとします。sh -cparallel{}

<list.txt PARALLEL_SHELL=sh parallel 'cmd > {}'