inotifywaitの潜在的な回避策はNULで区切られた出力を生成しません。

現在、以下を使用するbashスクリプトを作成しています。inotifywaitユーザーが提供したファイルとディレクトリのリストに対して特定のタスクを実行します。

それが私の関心を集めました。多くのシェルツールとは異なり、inotifywait使用できません\0。注入攻撃の可能性特別に設計された法的ファイル名（改行を含む）があります。

私のスクリプトが不要な脆弱性を引き起こさないように、この問題を解決したいと思います。私がする方法は次のとおりです。

• inotifywaitウォッチに渡されたすべてのファイル/パスの末尾のバックスラッシュが削除されていることを確認してください。
• 次のように出力を生成するように inotifywait出力形式を指定します。--format "%e %w%f//"
  • <EVENT LIST> <FILE PATH>//
• 行末で見つかったinotifywaitすべての項目を sed にパイプ出力します。//\0
• Bashwhile readループを使用して\0区切られたレコードを読み取る
• これは、最初のレコード以降のすべての後続レコードに追加の先行改行文字があることを意味します。これは剥がれています。
• その後、各レコードは最初のスペースで分割できます。スペースがイベントリスト（inotifywaitによってコンマで区切られている）になる前、スペースがイベントに関連付けられているフルパス名の後

#!/bin/bash

shopt -s extglob
watchlist=("${@}")

# Remove trailing slashes from any watchlist elements
watchlist=("${watchlist[@]%%+(/)}")

# Reduce multiple consecutive slashes to singles as per @meuh
watchlist=("${watchlist[@]//+(\/)/\/}")

printf -vnewline "\n"

inotifywait -qrm "${watchlist[@]}" --format "%e %w%f//" | \
    sed -u 's%//$%\x00%' | \
    while IFS= read -r -d '' line; do
        line="${line#${newline}}"
        events="${line%% *}"
        filepath="${line#* }"
        printf "events=%s\nfilepath=%q\n" "$events" "$filepath"
    done

私が知っている限り、これはスペース、改行、引用符などの興味深い文字を含むファイル/パス名を処理します。しかし、これはやや村のパッチワークのようです。

この質問の目的に応じて、配列${watchlist[]}はコマンドライン引数からコピーされましたが、配列はさまざまな方法で構成することができ、「興味深い」文字を含めることができます。

1. これを破るための悪意のある道はありますか？特定のイベントについて$events、および変数の内容が正しくない場合でも同じですか？$filepath

2. これが防水であれば、よりきれいな方法はありますか？

私は簡単に書くことができることを知っています。氏inotify_add_watch()この問題を解決するには、Friendプログラムを呼び出します。しかし、今は他の依存関係のためにbashで作業しています。

私はこれをここに投稿するのか、codereview.SEにもメインso.SEに投稿するのかについて紛争を経験しました。