Article View: pl.comp.security
Article #272Re: suidy
From: Tomasz R. Surmacz
Date: Mon, 13 Jan 1997 14:50
Date: Mon, 13 Jan 1997 14:50
34 lines
1815 bytes
1815 bytes
In pl.comp.security Marcin Wojcik <mw@wrss.amp.pw.edu.pl> wrote: : Na co nalezy zwracac uwage piszac w C/C++ programy majace pracowac jako : suidowe/sgidowe ? : Czego unikac itp... : URLe mile widziane. Nie używać: system() strcpy() (tylko strncpy()) exec() (tylko execl()) mktemp() Ostrożnie używać wszystkich funkcji zapisujących/kopiujących dane podawane "z zewnątrz" (aby nie przepełnić statycznie/dynamicznie alokowanych buforów) - w tym printf(), sprintf(), syslog()... Ostrożnie otwierać/tworzyć pliki w /tmp i innych katalogach z prawem zapisu przez innych użytkowników ( open(... , O_CREAT|O_EXCL) zamiast fopen() ) zmieniać euid na 0 tylko wtedy, gdy jest to absolutnie konieczne, a zaraz po wykonaniu potrzebnych operacji z powrotem na "bezpieczny", np. użytkownika wywołującego program. czyścić środowisko (environment) programu, np. zmienne IFS i inne takie To tak z głowy na początek... -- _________ (_ _' __) Tomasz R. Surmacz *--* Work:(071)320-2636 tsurmacz@ict.pwr.wroc.pl | (__ \ http://www.ict.pwr.wroc.pl/~tsurmacz/ *----* Home: ts@wroc.apk.net |__(____/ For PGP key finger tsurmacz@asic.ict.pwr.wroc.pl *---* irc: TomekS
Technical Details
Message-ID:
<5bdi4i$25f$1@okapi.ict.pwr.wroc.pl>Path:
mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!pingwin.icm.edu.pl!news.icm.edu.pl!ict.pwr.wroc.pl!not-for-mailReferences:
<5bd9oj$2fg@gemini.coi.pw.edu.pl>Show Full Headers
Complete Article Headers
Path: mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!pingwin.icm.edu.pl!news.icm.edu.pl!ict.pwr.wroc.pl!not-for-mail From: Tomasz R. Surmacz <tsurmacz@ict.pwr.wroc.pl> Newsgroups: pl.comp.security Subject: Re: suidy Date: 13 Jan 1997 14:50:58 GMT Organization: Technical University of Wroclaw, Poland Lines: 34 Message-ID: <5bdi4i$25f$1@okapi.ict.pwr.wroc.pl> References: <5bd9oj$2fg@gemini.coi.pw.edu.pl> NNTP-Posting-Host: okapi.ict.pwr.wroc.pl Mime-Version: 1.0 X-Newsreader: TIN [UNIX 1.3 unoff BETA release 961015] Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit