Leer un script de shell con ojo de auditor

Por defecto, un script de shell sigue adelante aunque un comando falle, trata una variable sin definir como una cadena vacía y da por buena una tubería si solo su último paso funciona. Tres opciones cambian esto: set -e detiene el script cuando un comando falla, set -u convierte el uso de una variable sin definir en un error, y set -o pipefail hace que una tubería falle si falla cualquiera de sus pasos.

No son una garantía (hay casos en los que -e no actúa, como dentro de una condición), pero su ausencia es la primera señal de un script que puede «tener éxito» con medio trabajo hecho. El auditor la busca en las primeras líneas.

Una variable sin comillas y sin valor es una bomba lenta: rm -rf $A/$B/* con $B vacía borra todo lo que cuelga de $A. Abre el script de despliegue web y busca la orden de borrado. Una de las dos variables que usa nunca recibe un valor en todo el archivo ni se lee del entorno que el script declara.

El patrón curl ... | bash descarga un script y lo ejecuta en el acto, con los permisos de quien lanza el pipeline. Si el origen se ve alterado en el camino (aquí, además, la dirección es http, sin cifrar) o el propio servidor cambia el archivo, el pipeline ejecuta lo que le entreguen, sin que nadie haya revisado qué es.

Localiza ese patrón en el script.

chmod 777 abre una carpeta o un archivo a lectura, escritura y ejecución para cualquier cuenta del equipo. En un servidor web, una carpeta donde los usuarios dejan archivos, con ese permiso, es un clásico: lo que un usuario sube puede quedar con capacidad de ejecutarse. Busca ese cambio de permisos en el script.

La corrección de curl | bash no es «prohibir curl». Es separar el acto de descargar del de ejecutar para poder comprobar entre los dos que lo recibido es lo esperado, como se hace con cualquier artefacto del pipeline.