Online Suche im Handbuch

LITTLE-IDIOT NETWORKING

30.6 Beispiele der Absicherung von PERL-Skripten

Hier nun folgen ein paar Beispiele, wie man die Übergabeparameter an Skipte filtern kann:

#!/usr/local/bin/perl -Tw
# ...
my $filename = shift @ARGV; # tainted
unless ($filename =~ /^(\w+)$/) {
   die "Invalid filename: $filename\n";
}
$filename = $1; # no longer tainted
open(OUT, ">$filename") || # OK
   die "Unable to open $filename: $!\n"
# ...

1. Mit Klammern erfaßte Teile eines regulären Ausdrucks werden als frei von Kontaminierung betrachtet -- selbst wenn die Zeichenkette, die dem regulären Ausdruck zugeführt wurde, kontaminiert ist.

2. Damit ist es möglich, Zeichenketten nach einer Überprüfung gegen einen regulären Ausdruck normal zu verwenden.

3. Natürlich muß darauf geachtet werden, daß dies nicht versehentlich geschieht.

4. Wenn ein regulärer Ausdruck nicht der Sicherheitsüberprüfung dient und erkannte Teile davon verwendet werden, sollten sie ggf. als kontaminiert gekennzeichnet werden.

Hier nun ein Beispiel, wie man gezielt eine Parameter bzw. eine Variable als "verdorben" kennzeichnet:

if ($address =~ /(.*)@(.*)/) {
   use Taint qw(taint);
   $user = $1; $domain = $2;
   if (tainted $address) {
      taint $user; taint $domain;
   }
}

Online Suche im Handbuch

LITTLE-IDIOT NETWORKING