🚀 go-pugleaf

Grzegorz Szysz/lo wrote:

> >Kwestie bezpieczeństwa CGI są naprawdę w minimalnym stopniu związane z
> >perlem jako interpreterem.
> 
> owszem, sa. perl ma zwykle atrubut suid, i niektorzy wykorzystuja
> to do wlamywania sie poprzez www.

Wiesz co, to jest mniej więcej taki argument, jak ten który usłyszałem kiedys
odnosnie ssh: "ssh jest niebezpieczne, bo można się przez niego zalogować
na roota, natomiast przez telnet nie można". Na wszelki wypadek dodam, że
w ssh można wyłączyć możliwosć logowania na root'a równie łatwo jak 
to się robi dla telneta. 

P.S. Słyszałes o czyms takim jak taint checking? Jak nie, to w skrócie powiem,
     że jest to sprawdzanie na etapie kompilacji bezpieczeństwa programu.
     Np. nie pozwoli wykonać eval na zmiennej którą mógł zmienić użytkownik,
     nie pozwoli wykonać zewnętrznego programu bez upewnienia się że PATH
     jest bezpieczna, i sprawdza jeszcze całą masę innych rzeczy. Włącza się
     to automatycznie jeżeli skrypt w perlu chodzi SUID (niekoniecznie root).
     Słyszałes o innym języku z takimi zabezpieczeniami?

--
Piotr Piatkowski, WEB Corporation Polska sp. z o.o.