译者 | 刘涛

审校 | 重楼

作为Linux用户，你可能已经频繁地使用“cat”命令。这个命令是一个实用的小工具，能够在终端中显示文件内容。然而，使用“cat”命令来查看脚本文件可能存在潜在的安全风险，这些风险可能并未被广泛认知。

默认情况下，“cat”命令并不会显示转义字符、隐藏字符以及脚本中可能存在的其他不可打印字符。这些字符可能包括换行符、制表符，甚至是恶意代码注入。这就意味着，当你使用“cat”命令查看脚本时，你可能无法获取到完整的信息，这使得你的系统容易受到潜在威胁的影响。

为了更好地说明这个问题的严重性，我们可以设想一个场景：你正在查看一个来自不可信来源的脚本。当你使用“cat”命令查看该脚本时，初步看上去可能并无害处。然而，深藏在脚本中的可能是恶意代码或指令，这些代码或指令可能会对你的系统安全构成威胁。如果你无法看到这些不可打印的字符，你可能会在不自知的情况下执行该脚本，从而使你的系统面临潜在的攻击或意外后果。

幸运的是，这个问题有一个简单且有效的解决方案：在使用cat命令时，结合-vet选项（-v、-e和-t）。这些选项可以揭示脚本或文本文件的真实内容，显示出可能被隐藏的任何特殊字符、转义序列或不可打印字符。-v或--show-nonprinting选项会显示所有不可打印字符，包括转义序列和隐藏字符。在审查可能包含恶意代码或伪装为不可打印字符的指令的脚本或文本文件时，这个选项尤其有用。代码如下：

这个脚本在表面上看起来无害，但如果它包含可能具有恶意性质的隐藏字符或代码，该如何处理呢？使用默认的cat命令，你将无法看到这些隐藏的内容。

为了更好地阐述这个问题，我们可以尝试创建一个包含一些隐藏字符的脚本：

如上所示，当我们使用cat命令显示脚本内容时，隐藏的行“# This line is hidden” 并不会被显示出来。然而，当我们使用-v选项时，原本隐藏的行就变得可见了：

现在，隐藏的行已经变得可见，我们可以看到脚本的全部内容。-e或--show-ends选项会在每行的末尾显示一个$字符，这使得识别可能存在的尾随空格或不可打印字符变得更加容易。

-t或--show-tabs选项会将制表符显示为^I，这使得识别和区分制表符和空格变得更加容易。

通过将-v、-e和-t这些选项组合成-vet简写，你可以揭示任何脚本或文本文件的真实内容，确保你看到的是完整的信息，而不是无意识地执行可能含有恶意代码的脚本。在处理来自不可信来源的文件，或者你自己并未创建的文件时，-vet选项应被视为你的常规审查工具。

通过这种额外的可见性层，你可以深入审查脚本或文本文件的内容，确保你不会无意中执行任何潜在有害的代码，或忽略可能对系统安全构成威胁的隐藏字符。

值得注意的是，这个问题并不仅限于脚本；它可能影响到任何包含不可打印字符的文本文件。设想一下，你正在审核一个配置文件或日志文件，其中可能存在隐藏的字符或转义序列，这些可能会导致系统功能出现问题，或为恶意攻击者提供攻击向量。通过使用-v选项，你可以确保看到完整的情况，从而能够做出明智的决定并采取适当的行动。

应该将使用-vet选项的做法纳入你的日常工作中，特别是在处理来自不受信任来源或你自己没有创建的文件时。在网络安全环境不断发展变化的今天，保持警惕并采取积极的防护措施来保护系统是至关重要的。如果未能彻底审查文件，可能会使你易受潜在的安全漏洞、数据丢失或系统受损的风险。

虽然cat命令是一个有价值的工具，但如果在审查脚本或其他文本文件时仅依赖于它而没有使用-vet选项，可能会使你容易受到隐藏字符或恶意代码注入的风险。始终使用cat -v或cat --show-nonprinting以确保你看到正在审查的文件的全部内容。通过采用这种简单的做法，你可以显著增强系统的安全性，并保护自己免受潜藏在不可打印字符阴影中的潜在威胁。

译者介绍

刘涛，51CTO社区编辑，某大型央企系统上线检测管控负责人。

原文标题：Exposing the Dangerous CAT Command's Limitations in Script Review，作者：Chris Ray