PerlCGI程式写作常问问题集(4)安全

3/5/2006来源:Perl教程人气:9567


5.0-安全

--------------------------------------------------------------------------------

Q5.1:以Perl写成的CGI程式是不是不如以shell或C写的来得安全?
这个问题的答案是:CGI程式先天上就不安全,不管它是用那个语言写成的*。

【译者】WWW及
CGI操作安全FAQ中问题第31对此有深入的探讨。



--------------------------------------------------------------------------------

Q5.2:我该特别留意哪些安全事项?
绝对不要对shell暴露任何form资料。底下这几项通通都是安全漏洞:

open(COMMAND,"/usr/ucb/finger$form_user");
system("/usr/ucb/finger$form_user");
@data=`usr/ucb/finger$form_user`;
话虽如此,在上面的第二种写法中,系统安全可藉着改变参数传送的方式而得以改善。也就是将参数由字串方式传送(shell会先解译),改为序列方式传送。

system("/usr/ucb/finger",$form_user);
您同时应该阅读:

由LincolnStein所着,一份很完整的WWW及CGI操作安全FAQ
PaulPhillips所着,CGI安全FAQ


--------------------------------------------------------------------------------

Q5.3:为什麽大家都说
http://bigidiot.abuse-me.com/perl.exe?foo.pl这样很危险?会有多糟?
极度危险!想想看如果我这麽做会发生什麽事:

http://bigidiot.abuse-me.com/cgi-bin/perl.exe?-e 'format: c'


现在您同意了吧?避免这个恶梦发生的方法:

将perl.exe执行档由``cgi-bin''移到server根目录以外的目录里去。
在``cgi-bin''里用批次档(batch)script来叫出您的CGIscript。
以下是一例。假设您的CGIscript叫做``sample.pl''而您的批次档叫``simple.bat'':

@echooff
c:\dos_perl\perl.exec:\netscape\ns-home\docs\cgi-bin\simple.pl

现在,您可以做:

ClickHere


--------------------------------------------------------------------------------

Q5.4:要如何在程式中安全地使用逆向撇号(backticks,"`",位於键盘左上角)?这麽做:
@ans=`grep'$user_field'some.file`;
是不是真的不安全?
是的!这非常危险!试想,如果$user_field含有这样的内容会有什麽後果:

;rm-fr/;

要达到相同的效果,一个比较安全的做法是*:

if(openGREP,"-|"){
@ans=;
}else{
exec("/usr/local/bin/grep",$user_field,"some.file")
||die"Errorexec'ingcommand","\n";
}

closeGREP;

【译者】如果读者对以上openGREP,"-|"部份的句法有疑问,可以
参阅perlipcmanpages中SafePipeOpens一节的说明。



--------------------------------------------------------------------------------

Q5.5:/$user_variable/这个句法是不是Perl5中的一个安全漏洞?
不!这不是个安全漏洞。但是如果您用eval指令在执行期(runtime)去评估这个叙述,那麽,它会变成一个安全死角。例如这种做法可能很危险:

foreach$regexp(@all_regexps){
eval"foreach(\@data){push(\@matches,\$_)ifm|$regexp|o;}";
}


--------------------------------------------------------------------------------
版权事宜

--------------------------------------------------------------------------------

Thisdocument,andallitsparts,areCopyright(c)1996,Shishir
GundavaramandTomChristiansen.Allrightsreservered.
Permissontodistributethiscollection,inpartorfull,viaelectronic
means(emailed,postedorarchived)orPRintedcopyaregrantedproviding
thatnochargesareinvolved,reasonableattemptismadetousethemost
currentversion,andallcreditsandcopyrightnoticesareretained.
Requestsforotherdistributionrights,includingincorporationin
commercialproducts,suchasbooks,magazinearticles,orCD-ROMsshouldbe
madetoeitheroftheauthors.

本文件着作权属於ShishirGundavaram及TomChristiansen所有,Copyright(C)1996。在不涉及收费营利、尽可能地使用最新版,及所有着作权告示保持完整的情况下,作者允许任何人透过电子形式(电子邮件、讨论群布告,或存放),或印表方式对本文件作完整或部份发行。如欲将本文件作其他方式发行,包括将本文件附加於商业产品,诸如书籍、杂志文章,或光碟等之中,必须事先对二位作者其中一人提出请求,以徵得许可授权。

本中译版及译者补充部份着作权属萧百龄及两只老虎工作室所有,Copyright(C)1997。本中译版遵守并使用与上述原文版相同的使用条款发行。