🚀 go-pugleaf

tmerlin@2-ec.com (Tomasz Śledź) wrote:

> W liście z wto, 09-11-2004, godz. 17:03, Sławomir Szczyrba pisze: 
> > Quod non fecerunt barbari, fecerunt Tomasz Śledź :
> > 
> > > $dane = system("/usr/sbin/usermod -e $data $user") ;
> > > print $dane[0] ;
> > >
> > Tak na początek...
> > Albo @dane=system(); albo print $dane;
> > Przyzwyczajaj się do use strict; na poczatku programu, to naprawdę 
> > pomaga :)

system() nie zwraca tablicy, a tylko kod zakończenia.
Jak chcesz zebrać informacje, to użyj odwrotnych apostrofów ``

> masz racje, por prostu milem kilka wersji tego samego programu w roznymi
> uwtawieniami ... problem jest reywialny, mianowicie jesli przekieruje
> komunikaty to otrzymuje:
> Insecure dependency in system while running setuid at ....
> i oczywiscie numer lini kgdzei jest system() ;
> a to tylko jesli zmienna user jest pobierana z zewnatrz .. bo jesli
> przypisze jej inna wartosc w kodzie to juz to sie nie wywala ....

Oczywiście! Tak działa -T.
Wszystko, co pobierane z zewnątrz, jest skażone (tainted) i nie może
być wykorzystywane w system() i podobnych funkcjach...
Jak chcesz takich danych użyć, musisz je 'oczyścić'.
Zasadniczo perl uznaj za czyste zmienne $1, $2, etc., więc musisz zrobić coś w 
stylu:

my $user = shift;
$user =~ /^([a-zA-Z0-9.]+)$/;
$user = $1;

Perl nie sprawdza, czy regexpa używasz w sposób bezpieczny, czy nie - wymusza
tylko jego użycie, zakładając, że wiesz co robisz ;-P

Więcej szczegółów w perldoc perlsec

Pozdrawiam
-- 
Vava
Wawrzyniec Żurowski
Victoria vale, et ubique es, suaviter sternutas   


-- 
Wysłano z serwisu OnetNiusy: http://niusy.onet.pl