Lassen Sie uns darüber sprechen, wie wir diese Sicherheitsanfälligkeiten jetzt verhindern können. Mit diesen Exploits konnten wir jeden
Code ausführen, den wir auf dem Tablet-Computer wollten.
Wieder sollte diese Funktionalität vermieden werden. Sie sollten es Benutzern nicht erlauben, Code auf Ihrem
Server auszuführen.
Versuchen Sie, all diese Funktionen zu vermeiden, wie etwa den bösen Durchlauf und all diese Funktionen,
die es einem Benutzer ermöglichen, Betriebssystemcode auf dem Server auszuführen.
Wenn Sie so etwas unbedingt verwenden müssen, sollten Sie die Eingabe vor der Ausführung
analysieren.
In dem Beispiel, in dem wir beispielsweise gesehen haben, wo der Code einen Ping durchgeführt hat, wird alles berücksichtigt, was wir
in das Textfeld schreiben. Ich werde hier als Slashdot-Textfeld eingefügt, nur um zu zeigen, dass dies die Eingabe ist, die wir in den
Text eingeben das Textfeld.
So sieht das Programm tatsächlich aus.
Wenn es zu kompliziert aussieht, vergessen Sie es einfach, wir reden hier nur über das Konzept.
Wir werden hier also darüber reden.
Nehmen wir zum Beispiel an, wir setzen normales IP und dann das Semikolon und dann einen Befehl, den wir machen wollten,
so haben wir zum Beispiel LS gleich gemacht.
Das Problem dabei ist die verwendete Webanwendung, die so verwendet wird, wie sie kopiert und hier
ausgeführt wird. Wenn Sie diesen Befehl ausführen, wird zuerst der Ping-Befehl ausgeführt, und dann wird das LS
L ausgeführt. EIN. Welches ist der Befehl, den wir wollten.
Was Sie tun müssen, ist zum Beispiel, wenn Sie es tun mussten. Ich empfehle Ihnen, diese Funktionen nicht zu
verwenden, wenn Sie eine Funktion wie diese verwenden müssen.
Dann sollten Sie überprüfen, ob die Eingabe Ihren Erwartungen entspricht.
Sie haben zum Beispiel eine IP-Adresse und nichts anderes erwartet.
Sie können Regex verwenden, um sicherzustellen, dass Sie nicht über Projekte oder Rodricks
sprechen. Rodricks ist im Grunde eine Regel, die sicherstellt, dass die
Eingabe im folgenden Format erscheint diese Ziffer Ziffer, die, wenn ich etwas anderes setze, die Webanwendung
dies ablehnen sollte.
Und genau das tut die hohe Sicherheitsstufe für den Code.
Ich weiß, dass wir über Black-Box-Tests und alles reden, aber ich möchte Ihnen zeigen, wie Ihr Code
aussehen sollte.
Wenn wir also zu den Sicherheitseinstellungen gehen und ich dies zu hoch ansetze, wird dies eigentlich als unmöglich bezeichnet
und die neuen Versionen einer DVD, die ich gekauft habe, wurden in derjenigen verwendet, die mit mir
ausgeliefert wird.
Der Grund, warum sie es als unmöglich bezeichnen, weil es sehr sicher ist.
Wenn Sie also wieder zur Befehlsausführung gehen, gebe ich Ihnen nur die Quelle, um Ihnen zu zeigen, was
sie tun.
Sie werden also in einer Weise implementiert, die der Verwendung und den Projekten sehr ähnlich ist.
Ich denke, Benutzerprojekte könnten in Bezug auf das Aussehen des Codes etwas schöner sein, aber es gibt nicht
das gleiche Konzept.
Im Grunde haben sie also hier die Ziele.
Das ist, was Sie hier eingeben.
Was auch immer Sie hier eingeben, wird diese Variable als letztes Dollar-Ziel erscheinen.
Das erste, was sie tun, ist, dass sie sich ablösen und die Schrägstriche daraus machen.
Sie teilen die IP mit dieser Funktion.
Diese Funktion ist also die IP-Adresse, die auf dem Punkt basiert.
Wir haben also eine Nummer Nummer diese Nummer Nummer diese Nummer Nummer diese Nummer Nummer.
Diesen Gedanken in ein Array aufteilen.
Wenn Sie beispielsweise eine IP-Adresse
haben, die dies sagt, wenn Sie unsere IP-Adresse angeben, die 10 20 14: 2 oder 8 bedeutet, was diese Funktion bewirkt, was die Explosionsfunktion hier tut, teilt
sie diese in vier und in ein Array von vier Elementen auf .
Die Arrays werden also so ähnlich sein.
Es wird 10 20 14 OK sein.
Auf jedes dieser Elemente kann hier anhand einer Nummer zugegriffen werden.
Sie prüfen also, ob jedes dieser Elemente eine Zahl ist, also prüft es, ob es numerisch für die Aktualisierungen für die 0
für die Eins für die beiden und für die Drei ist und dass für dieses Element dieses Element,
dieses Element und dieses Element geprüft wird Element.
Sie sorgen also dafür, dass wir eine Nummer Nummer Nummer Nummer haben.
Wir versuchen also, unseren Code hier einzufügen, unabhängig davon, welche Zeichen wir mit einem Wort und mit welchen Tricks verwenden.
So lange wir zum Beispiel Charaktere hier einfügen wollen. W. Die Charaktere werden hier
auch in das letzte Element eingehen.
Und dieses letzte Element wird mithilfe dieser Funktion mithilfe der Funktion "Numerus" überprüft.
Es wird ein Fehler ausgegeben, da dies offensichtlich keine Nummer zwei oder acht Semikolon ist. PWT ist keine Zahl.
Daraufhin erhalten Sie eine Fehlermeldung, dass wir eine ungültige IP-Adresse eingegeben haben.
Daher ist es am besten, dies erneut zu tun, indem Sie sicherstellen, dass der importierte Benutzer den Erwartungen entspricht.
In diesem Fall erwarten wir eine Nummer Nummer Nummer Nummer Dauth Nummer Nummer Nummer Diese Nummer
in vier Argumente unterteilt und sicherstellen, dass jedes dieser Elemente eine Zahl ist, die
uns dabei hilft, diese Eingabe zu schützen und das zu bestätigen geben Sie ein, dass es richtig ist.
Und das wird es nicht, und Hacker werden es nicht schaffen, sich in unseren Server zu hacken.