Come sfuggire/strisciare caratteri speciali nel documento LaTeX?

Question

Abbiamo implementato il servizio online dove è possibile generare PDF con la struttura predefinita . L'utente può scegliere un modello LaTeX e quindi compilarlo con un input appropriato.

La domanda che ci preoccupa è la sicurezza, che l'utente malintenzionato non è stato in grado di ottenere l'accesso alla shell tramite l'iniezione di istruzioni speciali nel documento in lattice.

Abbiamo bisogno di qualche soluzione per questo o almeno un elenco di caratteri speciali che dovremmo eliminare dai dati di input.

La lingua preferita è PHP, ma suggerimenti, costruzioni e collegamenti sono molto apprezzati.

PS. In poche parole, stiamo cercando mysql_real_escape_string per LaTeX

Answer 1

L'unica possibilità (AFAIK) per eseguire operazioni pericolose usando lattice è di consentire la possibilità di chiamare comandi esterni utilizzando \write18. Funziona solo se si esegue LaTeX con l'argomento --shell-escape o --enable-write18 (a seconda della distribuzione).

Quindi, se non lo si esegue con uno di questi argomenti, si dovrebbe essere sicuri senza la necessità di filtrare le parti.

Oltre a ciò, si è ancora in grado di scrivere altri file utilizzando i comandi \newwrite, \openout e \write. Avere l'utente di creare e (sopra) scrivere file potrebbe essere indesiderato? Quindi puoi filtrare le occorrenze di questi comandi. Ma mantenere le liste nere di determinati comandi è soggetto a fallire poiché qualcuno con una cattiva intenzione può facilmente nascondere l'effettivo comando oscurando il documento di input.

Edit: l'esecuzione del comando di LaTeX utilizzando un account limitato (vale a dire senza la scrittura a/directory relativi al progetto non in lattice) in combinazione con la disattivazione \write18 potrebbe essere più facile e più sicuro di mantenere una lista nera di 'pericoloso' comandi.

Answer 2

Si sarebbe probabilmente vuole fare in modo che il vostro \write18 è disabilitata.

Vedi http://www.fceia.unr.edu.ar/lcc/cdrom/Instalaciones/LaTex/MiKTex/doc/ch04s08.html e http://www.texdev.net/2009/10/06/what-does-write18-mean/

Answer 3

Secondo http://www.tug.org/tutorials/latex2e/Special_Characters.html i caratteri speciali in lattice sono # $ % & ~ _^\ { }. La maggior parte può essere sfuggita con una semplice barra rovesciata ma _^ e \ richiedono un trattamento speciale.

Per uso accento circonflesso \^{} (o \textasciicircum), per l'uso tilde \~{} (o \textasciitilde) e per il backslash utilizzare \textbackslash

Se si desidera che l'input dell'utente di apparire come testo macchina da scrivere, c'è anche il comando \verb che può essere usato come \verb+asdf$$&\~^+, il + può essere qualsiasi carattere ma non può essere nel testo.

Answer 4

In generale, è difficile ottenere la sicurezza esclusivamente tramite sequenze di comandi di escape senza ridurre drasticamente l'espressività, dal momento che non esiste un modo di principio per distinguere i c sicuri da quelli non sicuri: Tex non è un linguaggio di programmazione sufficientemente pulito per consentire questo .Direi abbandonare questo approccio per eliminare l'esistenza di buchi nella sicurezza.

Il riepilogo di Veger dei buchi di sicurezza in Latex è conforme al mio: cioè, i problemi sono gli escape di shell e la creazione di file .overwriting, sebbene abbia perso una vulnerabilità di escape shell. Alcuni punti aggiuntivi seguono, poi alcune raccomandazioni:

1. Non è sufficiente per evitare di invocare attivamente --shell-escape, poiché può essere implicitamente abilitata in texmf.cnf. È necessario passare esplicitamente --no-shell-escape per sovrascrivere texmf.cnf;
2. \write18 è un primitivo di Etex, non di Knuth Tex. In questo modo è possibile evitare i Latex che lo implementano (che, sfortunatamente, è la maggior parte di essi);
3. Se si utilizza Dvips, esiste un altro rischio: i comandi \special possono creare file .dvi che richiedono a dvips di eseguire i comandi della shell. Quindi dovresti, se usi dvips, passare il comando -R2 per proibire il richiamo dei comandi della shell;
4. texmf.cnf consente di specificare dove Tex può creare file;
5. Potrebbe non essere possibile evitare la disattivazione della creazione di caratteri se si desidera che i client abbiano molta libertà in cui i caratteri possano essere creati. Dai uno sguardo allo the notes on security for Kpathsea; il comportamento predefinito mi sembra ragionevole, ma potresti avere un albero dei caratteri per utente, per impedire a un utente di calpestare un altro utente.

Opzioni:

1. Sandbox invocazioni lattice del vostro cliente, e consentire loro la libertà di comportarsi male nella sandbox;
2. Fidati dei valori predefiniti di kpathsea e proibisci l'uso di shell escape in latex e qualsiasi altro eseguibile utilizzato per creare l'output PDF;
3. Riduce drasticamente l'espressività, impedendo ai client la possibilità di creare file di font o qualsiasi nuovo file specificato dal cliente. Esegui il latex come un processo che può solo scrivere su determinati file già esistenti;
4. È possibile creare un file di formato in cui il cs di \write18 e il css di creazione del file non sono vincolati e solo le macro che li invocano in modo sicuro, ad esempio per la creazione di font/toc/bbl, esistono. Ciò significa che devi decidere quale funzionalità hanno i tuoi clienti: non sarebbero in grado di scegliere liberamente quali pacchetti importano, ma devono fare uso delle scelte che hai imposto loro. A seconda del tipo di "template" che hai in mente, questa potrebbe essere una buona opzione, permettendo l'uso di pacchetti che usano gli escape di shell, ma dovrai controllare il codice Tex/Latex che va nel tuo file di formato.

PostScript

C'è un articolo rimorchiatore, Server side PDF generation based on LATEX templates, indirizzamento altro assumere questione a quello che ho preso, cioè si generano PDF dall'input modulo utilizzando lattice.

Answer 5

Ecco un codice per implementare la risposta di Geoff Reedy. Metto questo codice di dominio pubblico.

<? 

$test = "Test characters: # $ % & ~ _^\ { }."; 
header("content-type:text/plain"); 
print latexSpecialChars($test); 
exit; 

function latexSpecialChars($string) 
{ 
    $map = array( 
      "#"=>"\\#", 
      "$"=>"\\$", 
      "%"=>"\\%", 
      "&"=>"\\&", 
      "~"=>"\\~{}", 
      "_"=>"\\_", 
      "^"=>"\\^{}", 
      "\\"=>"\\textbackslash", 
      "{"=>"\\{", 
      "}"=>"\\}", 
    ); 
    return preg_replace("/([\^\%~\\\\#\$%&_\{\}])/e", "\$map['$1']", $string); 
}