The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Критическая уязвимость и массовые взломы хостинг-панели VestaCP, opennews (ok), 09-Апр-18, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


80. "Критическая уязвимость и массовые взломы хостинг-панели Vest..."  +1 +/
Сообщение от angra (ok), 10-Апр-18, 20:44 
> И как же вызываются системные приложения и скрипты из фреймворков на других  языках? Не у ж то ритуалами и окуриванием?

Ну например в perl функция system  позволяет задать аргументы в отдельных параметрах. То есть первый аргумент это имя скрипта, все последующие это его параметры. И вот уже волшебным образом нет никаких проблем с экранированием, так как разборка команды шеллом не производится вообще. Но можно конечно и как в php собрать комманду в одну строку из кусков и скормить как одно целое. Perl не запрещает стрелять себе в ногу, лишь предоставляет способы этого не делать.


Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

82. "Критическая уязвимость и массовые взломы хостинг-панели Vest..."  +/
Сообщение от mickvav (?), 10-Апр-18, 22:58 
Ну, если не забыть проверить все параметры регулярочками (и выкинуть все, под которые забыл написать регулярочки) - то вроде ничего. Если в регулярочках не накосячить. А если этого не делать - всяк напорешься - ну ушел от шелла при разборе system-а, а что если ты system-ом шелловский скрипт вызвал, и уже он не думая передаст твои неэкранированные параметры куда-то ещё?
Ответить | Правка | Наверх | Cообщить модератору

90. "Критическая уязвимость и массовые взломы хостинг-панели Vest..."  +/
Сообщение от angra (ok), 11-Апр-18, 03:12 
> Ну, если не забыть проверить все параметры регулярочками (и выкинуть все, под  которые забыл написать регулярочки) - то вроде ничего. Если в регулярочках  не накосячить.

Согласен, но вопрос то был про другое.

> ну ушел от шелла при разборе system-а, а что если ты  system-ом шелловский скрипт вызвал, и уже он не думая передаст твои  неэкранированные параметры куда-то ещё?

То это будут уже проблемы автора шелловского скрипта :)


Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру