Node.Js命令执行漏洞（CVE-2021-21315）复现及排查

一、背景与问题

在2021年，Node.js官方发布了一个严重的安全漏洞（CVE-2021-21315），该漏洞允许攻击者通过构造特定的字符串参数，绕过常规的命令注入防护机制，最终实现任意命令执行。该漏洞的核心在于Node.js的child_process模块中对用户输入参数的处理存在安全缺陷。

该漏洞的触发条件是：当使用child_process.exec或child_process.execFile时，若用户输入参数未经过严格的转义处理，攻击者可以通过构造特殊字符（如$、&等）来注入恶意命令。这种漏洞在Web应用中尤其危险，因为用户输入通常来自HTTP请求参数、文件上传内容或数据库查询字段。

二、基本原理

Node.js的child_process模块用于执行外部命令，其核心函数包括：

• child_process.exec(command, [options], callback)：执行命令并返回输出
• child_process.execFile(file, [args], [options], callback)：执行指定文件（如可执行文件）

这两个函数的共同问题是：未对用户输入参数进行严格的转义处理。特别是在使用shell: true选项时，会将命令视为shell命令进行解析，从而允许注入特殊语法。

漏洞触发条件

1. 用户输入中包含特殊字符（如$、&、|等）
2. 使用shell: true选项（默认情况下exec会启用）
3. 命令参数未经过转义处理

漏洞影响

攻击者可以构造如ls; rm -rf /的命令，通过注入分号实现多个命令执行，最终导致服务器文件被删除。

三、环境准备

确保Node.js版本在受影响范围（v14.17.0至v16.10.0）。可以使用以下命令检查版本：

node -v

如果版本在漏洞范围内，可复现漏洞。建议在安全测试环境中进行实验。

四、核心实现

1. 漏洞复现代码

const { exec } = require('child_process');

// 漏洞触发代码
exec('ls; echo "恶意命令注入"', (err, stdout, stderr) => {
  if (err) {
    console.error(`执行错误: ${err.message}`);
    return;
  }
  console.log(`输出: ${stdout}`);
});

关键代码解释：

• exec函数默认启用shell: true，允许解析特殊字符
• ls; echo "恶意命令注入"中使用分号注入了额外命令
• 攻击者可构造更危险的命令（如ls; rm -rf /）

运行结果：

输出: (文件列表)
恶意命令注入

2. 修复代码（使用转义）

const { exec } = require('child_process');
const { escape } = require('shell-quote');

// 安全处理用户输入
const userInput = "恶意输入; rm -rf /";
const escapedInput = escape(userInput);

exec(escapedInput, (err, stdout, stderr) => {
  if (err) {
    console.error(`执行错误: ${err.message}`);
    return;
  }
  console.log(`输出: ${stdout}`);
});

关键代码解释：

• 使用shell-quote库的escape函数对用户输入进行转义
• 转义后的字符串会将特殊字符转义为安全形式（如$转义为\$）

3. 安全执行方式（使用execFile）

const { execFile } = require('child_process');

// 安全执行方式
execFile('ls', ['--help'], (err, stdout, stderr) => {
  if (err) {
    console.error(`执行错误: ${err.message}`);
    return;
  }
  console.log(`输出: ${stdout}`);
});

关键代码解释：

• 使用execFile直接指定可执行文件路径，避免通过shell解析
• 可执行文件路径需严格校验，防止路径遍历攻击

五、完整案例

场景：Web API接口中的命令执行漏洞

前端代码（Express.js）：

const express = require('express');
const { exec } = require('child_process');
const app = express();

app.get('/execute', (req, res) => {
  const userInput = req.query.cmd; // 获取用户输入
  try {
    exec(`echo ${userInput}`, (err, stdout, stderr) => {
      if (err) {
        res.status(500).send('执行错误');
        return;
      }
      res.send(stdout);
    });
  } catch (e) {
    res.status(500).send('服务器错误');
  }
});

app.listen(3000, () => {
  console.log('服务器运行在 http://localhost:3000');
});

漏洞分析：

• 用户输入直接拼接到命令中，未进行转义
• 攻击者可输入ls; rm -rf /触发危险命令

修复方案：

const { exec } = require('child_process');
const { escape } = require('shell-quote');

app.get('/execute', (req, res) => {
  const userInput = req.query.cmd;
  try {
    const escapedInput = escape(userInput);
    exec(escapedInput, (err, stdout, stderr) => {
      if (err) {
        res.status(500).send('执行错误');
        return;
      }
      res.send(stdout);
    });
  } catch (e) {
    res.status(500).send('服务器错误');
  }
});

运行结果：

• 输入ls; rm -rf /将被转义为ls;\ rm\ -rf\ /，仅输出文件列表

六、源码解析

1. shell-quote库的转义机制

shell-quote库通过正则表达式将特殊字符转义：

// 转义函数核心逻辑
function escape(str) {
  return str.replace(/([\$`"\\])/g, '\\$1');
}

• \$：转义$符号
• \$：转义反引号
• \"：转义双引号
• \\：转义反斜杠

2. Node.js exec函数的shell处理

// child_process源码片段（简化）
void exec(const char *command, int options) {
  if (options & SHELL_FLAG) {
    parse_shell(command); // 解析shell命令
  } else {
    parse_direct(command); // 直接执行命令
  }
}

• 当shell: true时，会调用parse_shell解析特殊语法
• 漏洞的核心在于未对用户输入进行严格校验

七、进阶使用

1. 使用exec的shell: false选项

exec('ls', { shell: false }, (err, stdout, stderr) => {
  // 不启用shell解析，避免命令注入
});

2. 使用execFile的shell: false选项

execFile('ls', ['--help'], { shell: false }, (err, stdout, stderr) => {
  // 直接执行可执行文件，避免shell解析
});

3. 使用第三方安全库

const { exec } = require('child_process');
const { escape } = require('shell-quote');

// 安全执行
exec(escape(userInput), (err, stdout, stderr) => {
  // 安全处理
});

八、性能与工程实践

1. 性能优化

• 避免频繁命令执行：将重复命令缓存或预处理
• 限制命令执行时间：使用timeout参数控制执行时间
• 异步处理：使用Promise或async/await避免阻塞主线程

const { exec } = require('child_process');

async function safeExec(cmd) {
  return new Promise((resolve, reject) => {
    exec(cmd, (err, stdout, stderr) => {
      if (err) {
        reject(err);
        return;
      }
      resolve(stdout);
    });
  });
}

2. 异常处理

• 捕获异常：使用try/catch或回调函数处理错误
• 日志记录：记录异常命令和用户输入
• 速率限制：防止DDoS攻击（如限制单位时间内的命令执行次数）

九、常见问题与踩坑

1. 常见错误：未转义特殊字符

错误代码：

exec(`ls ${userInput}`);

问题：userInput中可能包含$、;等特殊字符

修复方案：使用escape函数转义输入

2. 常见错误：错误使用shell: true

错误代码：

exec('ls; rm -rf /', { shell: true });

问题：shell: true导致命令注入

修复方案：禁用shell: true或使用execFile

3. 常见错误：未校验输入路径

错误代码：

execFile(userInput, [], { shell: false });

问题：userInput可能包含../等路径遍历字符

修复方案：严格校验输入路径，避免路径遍历

十、最佳实践

1. 避免使用shell: true：除非绝对必要，否则禁用shell解析
2. 严格校验输入：使用正则表达式校验输入格式
3. 使用安全库：优先使用shell-quote等安全库处理输入
4. 限制命令执行：使用timeout和maxBuffer控制执行范围
5. 日志记录：记录所有命令执行记录，便于审计
6. 输入白名单：对关键输入字段使用白名单校验

十一、总结

CVE-2021-21315漏洞暴露了Node.js在命令执行安全方面的不足，其根本原因在于未对用户输入进行严格的转义处理。通过分析漏洞原理、复现漏洞、修复方案以及实际案例，我们可以深入理解命令执行的安全风险。

在实际开发中，应严格遵循以下原则：

• 禁止直接拼接用户输入：使用安全库处理输入
• 禁用不必要的shell解析：优先使用execFile等安全方式
• 严格校验输入路径：防止路径遍历攻击
• 记录异常日志：便于后续安全审计

通过合理的设计和安全措施，可以有效规避命令执行漏洞带来的风险，确保系统的安全性和稳定性。