CGI Sicherheit: Vermeidung gefährlicher Inhalte (Seite 8) (Perl/CGI)

[thread]624[/thread]

CGI Sicherheit: Vermeidung gefährlicher Inhalte (Seite 8)

Leser: 2

2005-12-16 20:26

User since
2003-08-04
12208 Artikel
Admin1

[quote=Bauhaus,16.12.2005, 17:42][quote=pq,16.12.2005, 16:24]was ist denn das für eine whitelist? soll das [...][/quote]
Vielleicht habe ich mich da falsch ausgedrückt.
Seufz - das war/ist die blacklist. ;-)[/quote]
sorry, ich meinte blacklist.
meine frage bleibt (siehe auch esskars antwort).
die liste ist unsinnig.

Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
lesen: Wiki:

Wie frage ich & perlintro Wiki:

brian's Leitfaden für jedes Perl-Problem

Antworten mit Zitat

2005-12-16 20:27

User since
2003-08-04
12208 Artikel
Admin1

[quote=Bauhaus,16.12.2005, 17:46][quote=pq,16.12.2005, 16:27]es ging um schreiben in ein filehandle. seufz.
dass du den dateinamen nicht aus dem userinput nimmst, versteht sich
doch von selbst![/quote]
Irgendwie raff ich das jetzt nicht.
Mit '>' schreibe ich doch tatsächlich in ein File(handle) - oder habe ich dich da mißverstanden?[/quote]
nein, du öffnest eine datei 'zum Schreiben' (und leerst sie).
schreiben selbst tust du erst mit print (print heißt übersetzt drucken).
und daran ist nix gefährliches.

Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
lesen: Wiki:

Wie frage ich & perlintro Wiki:

brian's Leitfaden für jedes Perl-Problem

Antworten mit Zitat

esskar

2005-12-16 22:06

User since
2003-08-04
7321 Artikel
ModeratorIn

user image

ohne eval, kein exploit!

Antworten mit Zitat

Gast Gast

2005-12-16 23:10

[quote=pq,16.12.2005, 19:27][quote=Bauhaus,16.12.2005, 17:46][quote=pq,16.12.2005, 16:27]es ging um schreiben in ein filehandle. seufz.
dass du den dateinamen nicht aus dem userinput nimmst, versteht sich
doch von selbst![/quote]
Irgendwie raff ich das jetzt nicht.
Mit '>' schreibe ich doch tatsächlich in ein File(handle) - oder habe ich dich da mißverstanden?[/quote]
nein, du öffnest eine datei 'zum Schreiben' (und leerst sie).
schreiben selbst tust du erst mit print (print heißt übersetzt drucken).
und daran ist nix gefährliches.[/quote]
Wenn wir schon 'wortklauben' :-)
print heißt übersetzt: drucke oder Druck

Antworten mit Zitat

esskar

2005-12-16 23:32

User since
2003-08-04
7321 Artikel
ModeratorIn

user image

auf jeden Fall machst du dir schwachsinnige (*sorry*) gedanken.
ich würde dir empfehlen, mal richtig viel drüber zu lesen:

http://www.amazon.de/exec....8371721

Hab noch ein anderes... hab aber gerade den namen vergessen

Antworten mit Zitat

esskar

2005-12-17 02:07

User since
2003-08-04
7321 Artikel
ModeratorIn

user image

ah, hier ist es: http://www.amazon.de/exec....3554155

Antworten mit Zitat

renee

2005-12-17 06:16

User since
2003-08-04
14371 Artikel
ModeratorIn

[quote=Bauhaus,16.12.2005, 16:17]

Code: (dl )

1
2

my $the_file = "FileName.exe\0" 
open FH, "> $the_file.txt" or die $!;

[/quote]
Damit oeffnest Du ein Filehandle, aber schreibst nix in das Filehandle...

Wenn system, exec, etc. (als Worte) so gefaehrlich waeren, wuerdest Du diese Worte vermutlich nirgendwo im Internet finden. Aber allein in diesem Forum findest Du es mehrere tausend male...

meinfile.txt

Code: (dl )

system("rm -rf /");

Nicht boese:

Code: (dl )

open(my $fh,"meinfile.txt") or die $!;
while(<$fh>){
  print;
}
close $fh;

Hier wird einfach der Text aus der Datei ausgegeben. Sonst nichts!

boese:

Code: (dl )

local $/;
open(my $fh,"meinfile.txt") or die $!;
my $zeile = <$fh>;
close $fh;
eval($zeile);

OTRS-Erweiterungen (http://feature-addons.de/)
Frankfurt Perlmongers (http://frankfurt.pm/)
--

Unterlagen OTRS-Workshop 2012: http://otrs.perl-services.de/workshop.html
Perl-Entwicklung: http://perl-services.de/

Antworten mit Zitat

J-jayz-Z

2005-12-17 13:51

User since
2005-04-13
625 Artikel
BenutzerIn

Eben, es ist ein Unterschied ob du den Userinput als text (renees erstes Beispiel) oder als Code (zweites Beispiel) interpretierst. Ich mein, es tut dir auch nicht weh wenn ich sag: "Ich hau dir auf den Hintern". Das tut es erst, wenn man es tatsache tut. So kann man das erstehen

perl -Mstrict -Mwarnings -e 'package blub; sub new { bless {} } sub bar {my $self=shift; $self->{bla}="5065726c2d436f6d6d756e697479"; return $self->{bla};} my $foo=blub->new();print "Hallo ";print pack("H*",$foo->bar()); print "\n"'

http://perl-tutor.de

Antworten mit Zitat

Gast Gast

2005-12-17 14:21

Das 'Wort' allein ist nicht gefährlich.
Das 'Wort' in Kombination ist gefährlich (so sagt man jedenfalls).
Aber ich will hier nicht weiter Hacker-Methoden publizieren; das könnte einen labil veranlagten Leser u.U. zu unüberlegten Handlungen hinreißen.

Antworten mit Zitat

Gast Gast

2005-12-17 14:27

[quote=esskar,16.12.2005, 22:32]auf jeden Fall machst du dir schwachsinnige (*sorry*) gedanken.
ich würde dir empfehlen, mal richtig viel drüber zu lesen:

http://www.amazon.de/exec....8371721

Hab noch ein anderes... hab aber gerade den namen vergessen[/quote]
Sorry esskar,
das mit dem 'Schwachsinn' kommt wirklich nicht gut rüber (auch dann nicht wenn du es von einem *sorry* begleiten läßt).

Antworten mit Zitat

View all threads created 2005-12-12 17:10.