为什么 Ubuntu 服务器中不包含 tree 命令？

Question

在 Ubuntu 服务器上安装树命令行实用程序是否存在安全问题？默认情况下，它不包含在服务器上。

Answer 1

我怀疑默认情况下未安装树，因为它在universe（应用程序必须main先安装，然后才能默认安装）。

快速浏览更改日志不会显示安全问题的记录，并且Ubuntu中没有错误报告，甚至可以追溯到 Dapper。

所以我的建议是继续安装tree在您的服务器上，它可能比许多流行的服务器应用程序更安全。

Answer 2

我现在要描述的很可能是一种非常假设的情况。

1. 假设您在文件系统的一部分上运行tree，任何用户都可以在其中创建文件，例如 under/tmp或/var/tmp.
2. 假设恶意用户在该位置创建了非常明确的特殊文件名。这可以通过在系统上拥有一个实际用户帐户或通过“欺骗”一个稍微易受攻击且公开可用的服务器守护程序来完成。
3. 假设树中存在关于如何处理“奇数”文件名的实际漏洞/弱点。

在这种情况下，树可能会被诱骗以您的用户帐户的权限运行意外的指令。显然，假设使用 root 权限调用tree，损害会更严重。

然而，这与您每次使用任何应用程序处理由外部/未知方创建的数据时所暴露的内容没有什么不同。无论您是在浏览器中查看网页、在音乐播放器中收听 mp3 文件还是在文字处理器中编辑文档，您仍然需要相信您的应用程序能够以理智的方式处理传入的数据。

这就是为什么 Web 浏览器中的安全漏洞如此重要的原因，因为它们经常暴露于来自外部/未知方的输入。对于服务器守护程序而言，情况更是如此，潜在的攻击者总是有机会向您提供“不良”输入数据。将此与您的计算器进行比较，您自己是在输入数字时输入所有数据的人。

总结：

是的，在安装和运行tree 时有一个理论上的安全考虑，就像几乎所有其他软件一样。

话虽如此，您在 Ubuntu 存储库中找到的大多数应用程序都可以合理安全地安装和使用。只要我们谈论的是常规用户应用程序，我认为您就不必担心太多。

（省去您对可公开访问的服务器守护进程的担忧。）