Использование данных, полученных из сокета TCP [python]

Question

Итак, я пытаюсь передать параметры сценарию оболочки bash через соединение сокета TCP-протокола python. Сценарий, выполняемый в оболочке bash, всегда срабатывает, хотя при печати переменной, передаваемой в os.system() или subprocess.call(), она выглядит правильно. Есть идеи? Небольшой кусок кода, который дает мне проблемы.

while 1: 
    conn, addr = s.accept() 
    print 'Connected with ' + addr[0] + ':' + str(addr[1])  
    data = conn.recv(1024) 
    if not data: 
     break 
    data2 = data.rstrip('\n') 
    cmd = 'ls ' + data2 
    #os.system(cmd) 
    subprocess.call([cmd], shell=True) 
    print cmd 

Answer 1

Питона subprocess call (doc) занимает одну строку, чтобы выполнить или список аргументов. Вы передаете строку как один аргумент, и, таким образом, вся вещь интерпретируется как команда для выполнения, которая, конечно, не может быть найдена.

subprocess.call(cmd, shell=True) или subprocess.call(['ls', data2])

Последнее является предпочтительным, поскольку это означает, что злоумышленник вызывающий абонент не может создавать произвольные действия оболочки, передавая «Foo; гт -rf/&» вниз гнездо.

Примечание: лучше использовать call(('ls', data2)) (круглые скобки вместо скобок), чтобы создать простой «кортеж» Python, а не динамический список для перехода к call(...).