如何从Java应用安全运行.bat文件？防范命令行注入风险

要避免命令行注入或其他攻击风险，核心思路是完全控制命令执行的上下文，杜绝用户可控输入被解析为shell命令逻辑，以下是具体可行的方案：

1. 绝对避免字符串拼接构造命令，使用ProcessBuilder数组传参 #

不要用Runtime.exec(String)这种会触发shell解析的方法，直接用ProcessBuilder的数组形式指定命令和参数——这种方式会直接执行目标程序，不会将参数解析为shell命令的一部分，从根源上避免注入。

示例代码（无用户可控参数）：

// 硬编码可信的bat文件路径，绝不接受用户输入的路径
ProcessBuilder pb = new ProcessBuilder("C:\\trusted_scripts\\safe_task.bat");
// 设置固定的工作目录，防止依赖当前目录的风险
pb.directory(new File("C:\\trusted_scripts"));

// 启动进程并处理输出（必须处理流，否则可能导致进程阻塞）
Process process = pb.start();
// 处理标准输出和错误输出的示例（可封装为工具方法）
try (InputStream in = process.getInputStream();
     InputStream err = process.getErrorStream()) {
    // 读取流内容，避免进程挂起
    String output = new String(in.readAllBytes(), StandardCharsets.UTF_8);
    String error = new String(err.readAllBytes(), StandardCharsets.UTF_8);
    int exitCode = process.waitFor();
    // 记录日志或处理结果
} catch (IOException | InterruptedException e) {
    // 异常处理
}

如果必须传递用户可控的参数，必须做严格的白名单验证，过滤掉所有可能触发shell逻辑的特殊字符（如&、|、>、<、&&、||等）：

String userParam = getUserInput(); // 假设这是用户输入的参数
// 白名单校验：只允许字母、数字、下划线、连字符
if (!userParam.matches("[a-zA-Z0-9_-]+")) {
    throw new IllegalArgumentException("参数包含非法字符");
}

// 安全传递参数
ProcessBuilder pb = new ProcessBuilder("C:\\trusted_scripts\\safe_task.bat", userParam);
// 后续流程同上

2. 严格校验.bat文件的合法性 #

• 固定文件路径：bat文件的路径必须是硬编码或从可信配置文件读取的绝对路径，绝不允许用户指定或修改路径。
• 文件完整性校验：可以预存bat文件的哈希值（如MD5、SHA-256），每次执行前校验文件哈希，防止文件被恶意篡改。
• 权限控制：确保bat文件所在目录只有管理员能修改，Java程序运行用户只有读和执行权限，禁止写权限。

3. 限制进程的运行权限 #

• 最小权限原则：用最低权限的系统用户运行Java程序，比如创建一个仅能访问必要目录和执行指定bat文件的用户，即使发生注入，攻击范围也会被限制。
• 清理环境变量：通过pb.environment()清理不必要的环境变量，只保留运行bat必需的变量（如PATH只保留系统必要路径），防止恶意程序通过环境变量被调用。

4. 禁止传递危险参数和输入 #

• 绝对不要将用户输入直接作为bat文件的内容或动态生成bat脚本，这几乎必然导致注入。
• 如果bat需要处理外部输入，尽量在Java层完成逻辑，只传递经过验证的纯数据参数给bat，避免让bat处理复杂的逻辑或外部命令。

5. 监控与审计 #

• 记录每次bat执行的完整信息：文件路径、参数、执行时间、退出码、输出内容，便于事后审计和异常排查。
• 对异常退出的执行触发告警，及时发现潜在的攻击行为。

内容的提问来源于stack exchange，提问作者Ananya