Python Subprocess库安全使用指南

0x00 前言

Python的subprocess模块是执行外部命令和进程的重要工具，但在使用中存在多种安全风险。本文详细分析subprocess模块常见的安全陷阱及其解决方案。

0x01 函数调用死锁风险

1. 死锁形式1

风险函数：

• subprocess.call
• subprocess.check_call
• subprocess.check_output

风险场景：当使用stdout=PIPE或stderr=PIPE时存在死锁风险

解决方案：

• 使用Popen.communicate()替代上述函数
• 官方文档已在这些函数中标注了安全警告

2. 死锁形式2

风险场景：Popen.wait()可能导致死锁

解决方案：

• 使用Popen.communicate()替代wait()
• 通过Popen.returncode获取程序返回值

3. 死锁形式3

风险场景：当shell=True时，命令参数为list形式会引发死锁

解决方案：

• shell=True时，命令参数应为字符串形式

0x02 僵尸进程风险

风险描述

使用subprocess.Popen创建子进程后，如果关闭不当可能导致子进程成为僵尸进程。

基础解决方案

@contextlib.contextmanager
def process_fixture(shell_args):
    proc = subprocess.Popen(shell_args)
    try:
        yield
    finally:
        proc.terminate()
        proc.wait()  # 必须调用wait()避免僵尸进程

进阶解决方案（处理子进程fork的情况）

import signal
import os
import contextlib
import subprocess
import warnings

@contextlib.contextmanager
def process_fixture(shell_args):
    proc = subprocess.Popen(shell_args, preexec_fn=os.setsid)
    try:
        yield
    finally:
        proc.terminate()
        proc.wait()
        try:
            os.killpg(proc.pid, signal.SIGTERM)  # 终止整个进程组
        except OSError as e:
            warnings.warn(e)

Python 3.2+简化方案：

proc = subprocess.Popen(shell_args, start_new_session=True)

0x03 命令注入风险

1. shell=True时的命令注入

风险场景：

s=subprocess.Popen('ls;id', shell=True, stderr=subprocess.PIPE, stdout=subprocess.PIPE)

解决方案：

1. 使用pipes.quote()或shlex.quote()过滤参数（Python 3推荐后者）
2. 尽可能使用shell=False并传递参数列表

2. shell=False时的参数选项注入

风险场景：

query = '--open-files-in-paper=id;'
r = subprocess.call(['git', 'grep', '-i', '--line-number', query, 'master'])

问题分析：

• 用户输入可能被解释为命令选项而非参数值
• shlex.quote()对此类注入无效

解决方案：

• 在参数前添加--表示选项结束：

r = subprocess.call(['git', 'grep', '-i', '--line-number', '--', query, 'master'])

0x04 最佳实践总结

1. 避免死锁：

   • 优先使用Popen.communicate()
   • 正确处理输入/输出管道
   • 注意shell=True时的参数格式

2. 进程管理：

   • 确保正确终止子进程
   • 使用进程组管理（preexec_fn=os.setsid或start_new_session=True）
   • 始终调用wait()避免僵尸进程

3. 命令注入防护：

   • 尽可能使用shell=False和参数列表
   • 用户输入必须经过适当过滤
   • 对可能被解释为选项的参数使用--分隔符

4. 版本兼容性：

   • Python 3.2+可使用start_new_session=True替代preexec_fn=os.setsid
   • Python 3推荐使用shlex.quote()而非pipes.quote()

通过遵循这些安全实践，可以最大限度地降低使用Python subprocess模块时的安全风险。