AskaEth cf5703b32b fix(nyai): M35 评审 r1 — 闭合 exFAT 大小写绕过（P1）+ 修 fmt_utc 1/2 月 + 成员名/炸弹纵深 ...

P1（信任边界）：is_system_pkg() 原用 strncmp，而落盘目录在 exFAT（名字比较
不区分大小写）。包内 app.json 写 "OS.MEOW.READER" 时 valid_pkg 放行、
is_system_pkg 返回 0 → 当第三方无签放行 → dst 解析到已装的
MeowAPPs/os.meow.reader → 备份后部署假包并删掉真系统 App（无需私钥）。
三层封堵：
  1) is_system_pkg 改 strncasecmp（前缀判定不再受大小写影响）；
  2) valid_pkg 收紧为只收 [a-z0-9._-]，并拒绝前导/尾随 '.'（现网包名全小写，
     无兼容代价；tail-dot 同时挡 exFAT/Windows 名字映射怪癖）；
  3) 部署前 readdir 检查 MeowAPPs 里是否有与 pkg 仅大小写不同的已装目录
     （有则拒装并报两个名字）；部署后再用 readdir 复核 on-disk 名字与清单包名
     逐字节相等，不等则回滚，杜绝「身份不明的 App 目录」。

P2-1：fmt_utc() 的 March-based 月份换算写成 +9（应为 -9），1/2 月会打成
20251901/20251931 且年份不 +1。修正为 int 运算；新增 test_fmt_utc.c
（直接 include nyai.c 测 static 函数）覆盖 epoch/负数、1/1、2/1、2/28、闰年
2/29（2024 与 2000）、3/1、12/31 23:59:59、2038-01-01、int32 上界、2100 非闰。

纵深防御（评审残留风险，一并做）：
- tar 成员名净化不再依赖外部 tar：mpk_check_members 解析 tar -tv 的名字，
  拒绝绝对路径 / 含 '..' 组件 / 首字符 '-' / 原始控制字符；解包后 stg_tree_ok
  再用 readdir 的真实名字复核控制字符（tar 列名会把控制字符转义成可见文本，
  原检查会漏）。
- 解压炸弹：累加 tar -tv 的体积，超过 512MB 上限拒装，并加 statvfs
  「剩余空间 ≥ 体积 + 16MB」门禁（解包先于验签，恶意包可在验签前写满卡）。
- 顺手改掉 appmeta.package 注释里「== 文件名茎」的旧语义。

回归：test_nyai.sh 49 → 70 条断言全过（新增：fmt_utc 13 例、大写包名绕过顶替
已装系统包被拒且原 App 未变、尾点包名、与已装目录仅大小写不同、绝对路径/
../ / 首字符 '-' 成员名、控制字符成员名、700MB 解压炸弹），
`-Wall -Wextra` 零告警，二进制可重复构建。

交付：nyai 153,844 B / md5 ef7940ecf5ece993d718ac1d9019cc82（旧 4524ce6b…）。
真机 10.58.215.50 仍不可登录（22 端口 TCP 可连、15-50s 无 banner），本轮
**未做真机复核**，仅宿主验证。

2026-11-10 21:42:37 +08:00

150 KiB

Executable File

Raw History

View Raw