dynamisches Laden von code (Allgemeines zu Perl)

[thread]19407[/thread]

dynamisches Laden von code

Tags: perl5 Ähnliche Threads

Leser: 18

Articles: hide open all | hide show old branches

+14 replies
Gast Graf Herschel

2014-11-29 23:13

Hallo

Ich würde gerne remote.pl dynamisch über entweder /path/xy oder http:/// in local.pl laden. Wichtig dabei ist, dass dahinter keine Abhängigkeiten stecken wie z.B. bei require oder use. Wenn remote.pl nicht vohanden ist, dannn verabschiedet sich local.pl ohne z.B. "Can't locate ..." Ich bitte dafür um Unterstützung

Vielen Dank
Graf Herschel
Last edited: 2014-11-29 23:16:18 +0100 (CET)
- +9 replies
- jan
  
  2014-11-29 23:17
  User since
  2003-08-04
  2536 Artikel
  ModeratorIn
  require kannst Du natürlich einfach mit einem
  
  Code (perl): (dl )
  
  if(-f "remote.pl") { require ... }
  
  umgeben.
  per HTTP kannst Du nicht requiren, da müsstest Du abrufen und dann z.B. eval nutzen.
  - +8 replies
  - Gast Graf Herschel
    
    2014-11-29 23:27
    
    Uuuuh .. ihr seit schnell
    
    Ok, wie ich den code über http hole, ist klar. Wenn ich dafür eval verwende, stehen mir dann auch die functionen im evaluierten code zur Verfügung, die im remote.pl definiert wurden?
    Last edited: 2014-11-29 23:47:23 +0100 (CET)
    - +7 replies
    - jan
      
      2014-11-30 00:51
      
      User since
      2003-08-04
      2536 Artikel
      ModeratorIn
      
      Ja.
      
      Code (perl): (dl )
      
      1 2
      
      eval('sub saghallo { print "hallo\n"; }'); saghallo();
      
      Allerdings musst Du natürlich prüfen, ob dein Code-Include geklappt hat.
      
      Allgemein sicher nicht die sauberste Art, was hast Du vor, vielleicht gibt es elegantere Möglichkeiten.
      - +6 replies
      - Gast Graf Herschel
        
        2014-11-30 12:05
        
        Danke jan, https funktioniert.
        Was ich vorhabe: Ich möchte gerne den code zum Ent/Verschlüsseln aus unterschiedlichen Quellen laden, je nachdem welchen ich benötige. D.h. das script am Rechner holt sich diesen nur ab und startet ihn im ram. Der Server stellt diesen code auch nur bestimmten clients unter bestimmten Umständen zur Verfügung. Vielleicht gibt es was besseres als eval?
        
        Gruß
        Graf Herschel
        Last edited: 2014-11-30 13:08:32 +0100 (CET)
        
        +5 replies
        
        Muffi
        
        2014-11-30 19:13
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Ich hab mich ja schon öfter mal mit Verschlüsselung beschäftigt, aber code zum verschlüsseln über http laden hab ich noch nie gehört.
        Und ehrlich: über eine unverschlüsselte Verbindung Code zum Verschlüsseln laden klingt auf den ersten Blick relativ sinnfrei.
        1 + 1 = 10
        
        +2 replies
        
        payx
        
        2014-11-30 20:48
        
        User since
        2006-05-04
        564 Artikel
        BenutzerIn
        
        Hallo Muffi,
        
        2014-11-30T18:13:26 Muffi
        Ich hab mich ja schon öfter mal mit Verschlüsselung beschäftigt, aber code zum verschlüsseln über http laden hab ich noch nie gehört.
        
        Ich schon, z.B.: http://keepass.info/download.html
        
        2014-11-30T18:13:26 Muffi
        Und ehrlich: über eine unverschlüsselte Verbindung Code zum Verschlüsseln laden klingt auf den ersten Blick relativ sinnfrei.
        
        Entscheidend ist ja nicht, dass der Code (der Algorithmus) geschützt ist (sonst dürfte es keine Open-Source-Verschlüsselungssoftware geben), sondern die Schlüssel, die zum Verschlüsseln bzw. (im Falle assymetrischer Verfahren) zum Entschlüsseln verwendet werden, müssen geschützt werden und dürfen natürlich nicht per HTTP übertragen werden.
        
        Grundsätzlich abwegig finde ich es nicht, die Verschlüsselungssoftware irgendwo in der Cloud bereitzuhalten. Ob das, was OP vorhat, sinnvoll ist, vermag ich nicht zu beurteilen (ein bisschen abenteuerlich klingt es schon).
        
        Grüße
        payx
        
        Muffi
        
        2014-11-30 20:55
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Und wie stellst du sicher, dass der Code, den du losschickst auf der anderen Seite auch unverändert ankommt?
        Also möglich ist sowas schon, aber auf den ersten Blick klingts recht unkonventionell
        1 + 1 = 10
        
        +2 replies
        
        Gast Graf Herschel
        
        2014-11-30 21:10
        
        2014-11-30T18:13:26 Muffi
        Ich hab mich ja schon öfter mal mit Verschlüsselung beschäftigt, aber code zum verschlüsseln über http laden hab ich noch nie gehört.
        
        Ich auch noch nicht
        
        2014-11-30T18:13:26 Muffi
        Und ehrlich: über eine unverschlüsselte Verbindung Code zum Verschlüsseln laden klingt auf den ersten Blick relativ sinnfrei.
        
        Beim Übertragen des codes ist weniger wichtig eine verschlüsselte Verbindung als eine zuverlässige Übertragung, Das ist mit einer CRC und und einem weiteren Verfahren sichergestellt. Meine Frage lautet nur, ob es für diesen Fall etwas Gescheiteres gibt mit Perl als eval()
        
        Graf Herschel
        Last edited: 2014-11-30 21:12:18 +0100 (CET)
        
        Muffi
        
        2014-12-01 08:40
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        nö, eval kann man schon machen.
        PS: CRC ist nicht dafür geeignet irgendwas zu signieren. CRC kann unabsichtliche Fehler vermeiden, nicht absichtliche Angriffe verhindern.
        
        Und vielleicht nochmal klarer: Ich würd niemals, niemals in einem sicherheitskritischen Bereich Code von irgendwoher (dazu noch unverschlüsselt mit Eingenbau "Sicherheits"mechanismen) laden, um den dann einfach per eval auszuführen.
        Ein Kryptomensch wenn das sieht, dem rollts die Zehennägel hoch. Da kannst gleich ein Hinweisschild "Backdoor bitte hier entlang" aufstellen.
        Last edited: 2014-12-01 08:48:06 +0100 (CET)
        1 + 1 = 10
- lichtkind
  
  2014-12-01 19:32
  
  User since
  2004-03-22
  5679 Artikel
  ModeratorIn + EditorIn
  
  RPC::Simple
  
  mst had da noch was anders gebastelt
  Tutorien in der Wiki, mein zeug:
  kephra, baumhaus, garten, gezwitscher
  
  Es beginnt immer mit einer Entscheidung.
- +3 replies
- rosti
  
  2014-12-02 08:37
  
  User since
  2011-03-19
  3194 Artikel
  BenutzerIn
  
  Hallo,
  
  Code aus nicht vertrauenswürdigen Quellen einzubinden, halte ich für bedenklich, da schließe ich mich dem Beitrag von Muffi an.
  Beschreibe doch mal, was Du wirklich machen willst, vielleicht gibt es Lösungen die sicherheitstechnisch weniger bedenklich sind. Möglicherweise lassen sich anfallende Aufgaben auf einen Code-Pool abbilden, das würde bedeuten, dass ein solcher Pool eine vertrauenswürdige Quelle darstellt und darüber hinaus mandantenfähig gemacht werden kann, sprich, er ist nur autorisierten Personen zugänglich: Das Einbinden/Ausführen von Code ist auf einen bestimmten Personenkreis begrenzt.
  
  Praktische Realisierung: In Dateien ausgelagerte Code-Sourcen (Klassen und Methoden), die bedarfsweise mit require eingebunden werden, Stichwort AutoLoader.
  
  Eventuell läuft das alles auf einen Webservice hinaus.
  
  MfG
  - +2 replies
  - Gast Graf Herschel
    
    2014-12-02 16:30
    
    Das ist in diesem Fall umgekehrt. Die Quelle, aus der der code mit https bezogen wird, IST vertrauenswürdig. Die Personen an den clients sind es NICHT. Deshalb will ich auch den code auslagern und NICHT am client zur Verfügung stellen. Der code am client besteht nur aus dem loader, mehr ist da nicht. Der benötigte code am client zum Ver/Entschlüsseln ist abhängig vom client, nicht von der Person. Das kann sein blowfish, Rijndael, etc. Der Person ist der verwendete bzw. notwendige algorithmus unbekannt. Eine Manipulation des codes ist ausgeschlossen, die crc und ein weiteres Verfahren , das nicht übertragen wird und als Konstante am client liegt, läßt das nicht zu. Das alles funktioniert ja schon, nur das eval() gefällt mir überhaupt nicht. Es muß eine Möglichkeit geben - eventuell Vorkompiliert??? - die Ladet und NICHT auf irgendein Medium schreibt.
    
    Danke für deine Mühe
    Graf Herschel
    Last edited: 2014-12-02 16:39:31 +0100 (CET)
    - Gast Graf Herschel
      
      2014-12-02 16:51
      
      Ich habe mich nun anders entschieden, mir läuft die Zeit davon, unter Perl finde ich außer eval() nichts und hier will ich nicht über den Sinn des Verfahrens diskutieren. Ich werde den loader in C schreiben, den code Base64 oder ähnlich codiert übertragen, in den Speicher mappen und abarbeiten.
      
      Ich Danke euch
      Graf Herschel
      Last edited: 2014-12-02 16:59:25 +0100 (CET)

View all threads created 2014-11-29 23:13.