@zicolasjac-ai/remote-readonly-ssh 1.1.2 → 1.1.3

package/README.md

@@ -108,11 +108,20 @@ npm test          # 运行单元测试（node --test）
 ## 安全模型
 
 - **双层校验**：每条命令必须以允许前缀开头，且不得含禁止模式（rm/mv/vi/systemctl/sudo/重定向到文件/shadow/ssh 密钥等），否则一律拒绝。
-- **防绕过加固**：路径 `..` 穿越规范化、反斜杠转义、命令替换（`$()`、反引号）、分隔符（`;` `&` `&&`）等攻击面全部封堵。
+- **管道分段校验**：命令按 `|` 分段（引号内的 `|` 不分割），每个管道段都必须独立通过白名单——`... | sh`、`... | base64 -d` 等尾段注入全部拒绝。
+- **重定向白名单化**：仅放行 `2>&1` 形式的流重定向，`>`、`>>`、`>|`（强制覆盖）、`>&file` 等任何写文件形态一律拒绝。
+- **路径黑名单全局生效**：`exec-only` / `diff` / `find` 命令中出现的所有绝对路径（含规范化后的 `//x`、`/./x`、`/a/../b` 形态）都与 `read-file`/`dir` 受同一份 `blocked_paths` 约束。
+- **防绕过加固**：路径 `..` 穿越规范化、通配符 glob（`/etc/*/shadow`）、反斜杠转义、命令替换（`$()`、反引号）、变量展开（`$HOME`）、波浪号（`~`）、分隔符（`;` `&` `&&`）、换行注入等攻击面全部封堵；`hostname <name>`、`date -s` 等状态变更命令拒绝。
 - **参数防注入**：`proc`/`ports`/`bin-version` 参数做严格字符集校验。
 - **主机白名单**：未登记 IP 一律拒绝。
 - **无写原语**：工具集中不存在任何写操作路径；写操作由人工执行，本工具只读。
 
+**已知边界**（设计取舍）：
+
+- `--config` / 环境变量 `RRS_CONFIG` 可指向任意配置文件——本工具防护的是"AI 误发危险命令"，不防护对本地配置的恶意篡改（本地已有写权限的攻击者不在威胁模型内）。
+- `exec-only` 的相对路径参数（如 `cat file.txt`）不经过路径白名单（无法可靠区分文件名与普通参数）；家目录敏感文件已由禁词表（`.ssh`、`id_rsa`、`history` 等）与 `blocked_paths` 尽可能覆盖。
+- `exec-only` 中 `$`（含 grep 行尾锚 `'$'`）被整体禁用——需要正则锚的场景请用 `proc` 工具。
+
 ## 许可证
 
 MIT

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zicolasjac-ai/remote-readonly-ssh",
-  "version": "1.1.2",
+  "version": "1.1.3",
   "description": "只读 SSH 运维 CLI 与 Agent Skill：通过 JumpServer 堡垒机白名单强制执行只读查询；附 SKILL.md 让 opencode / Claude Code / Cursor 等 AI 助手自动发现并正确调用。",
   "license": "MIT",
   "bin": {

package/src/whitelist.js

@@ -18,35 +18,80 @@ const FORBIDDEN_PATTERNS = [
   /history/,
   // ---- anti-bypass hardening ----
   /\\/,                        // backslash escapes (r\m == rm)
-  /\$\(/,                      // command substitution
   /`/,                         // backtick substitution
-  /\$\{/,                      // parameter expansion (blocked to be safe)
   /;/,                         // command separator
   /(?<![>])&|&(?![0-9&])/,     // single & / && (allows only >&N redirect form)
   /\|\|/,                      // or operator
   /[\r\n]/,                    // embedded newline separators
+  /~/,                         // tilde expansion (== /root for root user)
+  /\$/,                        // variable expansion ($HOME etc; covers $( and ${ too)
+  /^hostname\s+\S/,            // hostname <name> sets the system hostname
+  /^date\s+(-s|--set)/,        // date --set changes the system clock
 ];
 
-const ARG_RE = /^[A-Za-z0-9._\-/:*]+$/;
+// 引号感知的管道分段：单双引号内的 | 不分割（grep -E 'a|b' 合法）
+function splitPipeline(cmd) {
+  const segs = [];
+  let cur = "";
+  let sq = false;
+  let dq = false;
+  for (const ch of cmd) {
+    if (ch === "'" && !dq) sq = !sq;
+    else if (ch === '"' && !sq) dq = !dq;
+    if (ch === "|" && !sq && !dq) { segs.push(cur); cur = ""; }
+    else cur += ch;
+  }
+  segs.push(cur);
+  return segs.map((s) => s.trim()).filter(Boolean);
+}
+
+// 提取命令中所有绝对路径 token（供 blocked_paths 黑名单核查）
+function extractAbsPaths(cmd) {
+  const out = [];
+  for (const m of cmd.matchAll(/(?:^|[\s'"])(\/[A-Za-z0-9._\-/]+)/g)) {
+    out.push(path.posix.normalize(m[1]));
+  }
+  return out;
+}
 
 function validateCmd(cmd, conf) {
   const c = String(cmd).trim();
   if (!c) throw new Error("空命令");
   if (/^(sudo |su )/.test(c)) throw new Error(`拒绝: 不允许提权命令 [${c}]`);
+  // 管道分段校验：每个管道段都必须独立通过白名单（防 "| sh"、"| base64 -d" 等尾段注入）
   const prefixes = conf.allowed_command_prefixes || [];
   const patterns = conf.allowed_command_patterns || [];
-  const okPrefix = prefixes.some((p) => c.startsWith(p));
-  const okPattern = patterns.some((p) => new RegExp(p).test(c));
-  if (!okPrefix && !okPattern) {
-    throw new Error(`拒绝: 命令不在白名单 [${c}]`);
+  for (const seg of splitPipeline(c)) {
+    const ok = prefixes.some((p) => seg.startsWith(p))
+      || patterns.some((p) => new RegExp(p).test(seg));
+    if (!ok) {
+      throw new Error(`拒绝: 命令段不在白名单 [${seg}]（整条: ${c}）`);
+    }
   }
   for (const pat of FORBIDDEN_PATTERNS) {
     if (pat.test(c)) throw new Error(`拒绝: 命中禁止模式 [${pat}] 命令 [${c}]`);
   }
+  // 重定向白名单化：剥离合法的 N>&M（如 2>&1）后，任何残留的 > 一律拒绝
+  // （覆盖 > file、>> file、>| 强制覆盖、>&file 等全部写文件形态）
+  const stripped = c.replace(/\d*>&\d+/g, "");
+  if (stripped.includes(">")) {
+    throw new Error(`拒绝: 命中禁止模式 [输出重定向] 命令 [${c}]`);
+  }
+  // 敏感路径核查：命令中出现的任何绝对路径都不得命中 blocked_paths
+  // （让 exec-only / diff / find 与 read-file/dir 受同一份路径黑名单约束）
+  const blocked = conf.blocked_paths || [];
+  for (const p of extractAbsPaths(c)) {
+    for (const sp of blocked) {
+      if (p.startsWith(sp) || `${p}/` === sp) {
+        throw new Error(`拒绝: 敏感路径 [${p}]（整条: ${c}）`);
+      }
+    }
+  }
   return c;
 }
 
-const PATH_RE = /^[A-Za-z0-9._\-/:*]+$/;
+const PATH_RE = /^[A-Za-z0-9._\-/:]+$/;  // 无通配符：glob 展开可绕过黑名单（/etc/*/shadow）
+const ARG_RE = /^[A-Za-z0-9._\-/:*]+$/;  // 参数允许 * （单引号内的 grep 正则量词，无注入面）
 
 function validatePath(pathArg, conf) {
   const raw = String(pathArg).trim();