看着像故障的报错，别直接丢给脚本解析

admin

一条记录怎么变成了执行入口

值班的时候最常干的一件事，就是看记录。设备报了什么错，哪个进程挂了，上午十点整发生了什么，全靠它。大家默认这条记录是可信的，因为它是机器自己写出来的。有研究者提醒，这个默认可能得改一改了。机器写下的字，也可能被人动过。多留个心眼总没错。

有安全研究机构披露过一种新变体：在某类边缘设备上，有人把内容塞进了设备产生的运行记录里，还特意伪装成某个处理进程失败的报错。单看那行字，和真正的故障信息没两样。这就有意思了，它不需要你去点开什么，只要有人读它，就够了。一段看起来很普通的话，也可能藏着别的东西。危险的地方就在这里，太像真的了。这事不稀奇。

真正让事情变严重的是下一步。一段平时用来做维护的正常脚本，会去解析这条记录，然后拿着最高权限把里面的内容执行了。链条到这里就闭合了：记录本来只是说明发生了什么，结果变成了决定要做什么。这个身份一变，性质完全不同。这落差很大。

脚本解析文本，最容易犯的错

写运维脚本的人都有这个习惯：从一段文本里把需要的字段抠出来，用到后面的命令里。图快，就直接拼字符串。问题在于，你抠出来的东西，本质上是别人写下的字。你把它当数据看，脚本却可能把它当指令看，这中间的落差就是坑，而且是最容易踩的那种。说白了，就是没分清谁在说话。这习惯，很多团队都有。改起来不难，难在意识到。

最常见的错有三个。一是把整行文本拼进命令里执行，等于把控制权交出去；二是用没有边界的匹配去抓字段，被人做过手脚的内容也能被一起带走；三是把记录里的值当默认可信，不去校验它到底长什么样。这三样单拎出来都不算离谱。凑在一起，就出事。

换个思路看这件事就清楚了：任何来自外部、可能被改过的文本，都是输入，不是命令。输入得先过校验，符合预期的才用，不符合的直接丢掉并告警。这不是技术难度问题，是习惯问题。可惜太多脚本是当年赶时间写出来的，一直没人回头收拾，欠的账就一直在那儿挂着。该还的时候，一次都躲不掉。趁早改，比出事再改省力。

把「内容」和「指令」分开

第一条，记录只当内容用。它能告诉你发生了什么，但不能决定你要执行什么。真要基于记录做动作，也得先经过一层固定的判断，而不是让它直接落到命令行上。这条线画清楚，很多麻烦就从根上没了。说白了，记录只能参考，不能下令。原则就这一条。

第二条，字段要结构化。别再用一整行自由文本去猜意思，把需要的信息放到固定的字段里：事件类型，对象，结果，各就各位。解析的时候按字段取，允许清单里有的才认。这样即便有人往文本里塞了别的东西，也进不了你的字段，最多变成一段被忽略的噪音。结构化的好处，就在这儿。字段定死了，能动手的余地就小。越规整，越好守。

第三条，取值要限定范围。比如说某个字段预期是个短编号，那就只接受符合格式的值，超出范围一律拒绝。数字就按数字处理，路径就按允许清单里的路径比。看着有点死板，但防守这事本来就不是比谁灵活。是比谁不容易被绕过去。规矩立在前头，省得事后补漏。

维护脚本的权限，收在哪一层

那段维护脚本之所以后果重，是因为它跑在最高权限上。一个只需要看几行记录、做点轻量动作的脚本，其实用不着那么大的权力。很多组织之所以给它开这么大，纯粹是当年图省事，谁知道要什么就给什么，后来也就没人再去动它，一直沿用到现在。这种顺其自然，最要命。权限这东西，给出去容易，收回来难。得有人专门盯一次。

收权的思路是按事给权。这个脚本到底要碰哪些文件，要不要改配置，需不需要联网，一项项列出来，只给它完成这些事的最小权限。不该碰的目录就明确不给。做完这一步，就算脚本真被人拿捏了，能造成的范围也小得多。权力的边界，写清楚最好。界划清了，事就好办。

还有一点常被忽略：脚本自己也是个资产，也得纳管。谁写的，装在哪几台机器上，什么时候跑，最新一版是什么，这些最好有记录。不然出了事，找脚本、找版本都要花上半天，处置的黄金时间就这么耗掉了，挺不划算的。平时多花十分钟，急时少花一小时。这笔账，谁都算得明白。把清单建起来，比什么都强。别等出事才想起它。早点理，心里踏实。

事后怎么看出记录被动过

记录既然可能被动，那事后就得有办法判断它动没动。最朴素的一招是只写不改：运行记录一旦落盘，就当成只读的东西，谁都不许回头去编辑它。需要写新内容就追加，别覆盖。这样至少有个能对照的底。先把这一课补上。基础不牢，查什么都费劲。守住底，就不慌。

再往前一步，是给记录加上防篡改的痕迹。比如说对每条记录算一个校验值，或者按时间串起来，改动一处就能看出来。这块不用一步到位，但方向得有。很多组织是等真出了事，才回头补这一课，那时候往往已经晚了，只能对着残缺的线索叹气。早做一点，余地就大一点。防篡改不是玄学，是习惯。别嫌麻烦，麻烦在前面。早动手早安心。

日常真正能落地的，还是那几样：留意记录的来源和写入时间是否合理，有没有出现格式怪异的行，本该由某个进程产生的记录是不是换了个出处。这些异常不一定会立刻说明什么，但攒在一起，往往就是线索。看习惯了，一眼就能觉出不对。别小看这些小地方。常看，眼睛就刁了。