shell - 如何使命令 "ps"在期望脚本中不显示密码？

Question

我做了一个例子如下。密码(mingps)是shell变量。在执行shell脚本时，同时执行命令“ps -ef”，我发现“ps”的结果显示了密码(mingps)。出于安全原因，我不想在执行命令“ps -ef”时显示密码。那么如何隐藏呢？提前致谢。

#!/bin/sh
MalbanIP="XXX.XXX.XXX.XXX"
MalbanLogin="ming"
MalbanPwd="mingps"
MalbanCmd="netstat"
firstTime="true"

/usr/bin/expect <<EOF
set timeout 10
log_user 0
spawn /usr/bin/ssh $MalbanIP -l $MalbanLogin
expect {
    -nocase "continue connecting (yes/no)?" {
        send "yes\r"
        expect "password:" {
            send "$MalbanPwd\r"; set firstTime "false"; exp_continue
        }
    }
    "password" {
        if {$firstTime == "true"} {
            send "$MalbanPwd\r"; set firstTime "false"
        } else {
            log_user 1; puts stdout "password is wrong"; log_user 0;
            exit 1
            }
    }
}
expect "0-0-3"
log_user 1
send "$MalbanCmd \r"
set results \$expect_out(buffer)
expect "0-0-3" { send "exit\r" }
expect eof
EOF
exit 0

Answer 1

选项1

最好的方法是切换到使用 RSA key 登录，因为这将使您能够显着增强您的整体系统安全性。有了它，您可能可以完全避免使用 Expect。

选项 2

但是，如果您不能这样做，解决问题的关键是不要将其作为参数或环境变量传递(因为 ps 可以通过正确的选项看到两者)。相反，您通过将密码写入文件并将该文件的名称提供给 Expect 脚本来传递密码。该文件需要位于只有当前用户可以读取的目录中； chmod go-rx将在那里提供帮助。

MalbanPwdFile=/home/malban/.securedDirectory/examplefile.txt

# Put this just before the spawn
set f [open $MalbanPwdFile]
set MalbanPwd [gets $f]
close $f

您可能还需要在 $MalbanPwd 的前面加上一个反斜杠。这样它就不会过早地被 shell 脚本部分取代。

选项 3

或者您可以停止使用该 shell 包装器并直接在 Tcl/Expect 中执行所有操作。

#!/usr/bin/expect
set MalbanIP "XXX.XXX.XXX.XXX"
set MalbanLogin "ming"
set MalbanPwd "mingps"
set MalbanCmd "netstat"

set firstTime true
set timeout 10
log_user 0
spawn /usr/bin/ssh $MalbanIP -l $MalbanLogin
expect {
    -nocase "continue connecting (yes/no)?" {
        send "yes\r"
        expect "password:" {
            send "$MalbanPwd\r"
            set firstTime false
            exp_continue
        }
    }
    "password" {
        if {$firstTime} {
            send "$MalbanPwd\r"
            set firstTime false
        } else {
            log_user 1
            puts stdout "password is wrong"
            log_user 0
            exit 1
        }
    }
}
expect "0-0-3"
log_user 1
send "$MalbanCmd \r"
set results \$expect_out(buffer)
expect "0-0-3" { send "exit\r" }
expect eof

我怀疑从长远来看，最后一个选项最适合您。它绝对是最简单的一个(除了切换到 RSA key ，这是我在我自己的基础设施上部署的)，我认为它会避免你在当前代码中遇到的一些细微错误(由于替换变量在错误的时间)。