Parlons maintenant de la manière dont nous pouvons prévenir ces vulnérabilités et de ces exploits, nous avons pu exécuter
le code que nous voulions sur la tablette.
Encore une fois, cette fonctionnalité doit être évitée, vous devez éviter d'autoriser les utilisateurs à exécuter du code
sur votre serveur.
Essayez d'éviter toutes ces fonctions telles que le transfert malveillant et toutes ces fonctions qui permettent à
un utilisateur d'exécuter du code du système d'exploitation sur le serveur.
Si vous devez absolument utiliser quelque chose comme ça, alors assurez-vous d’analyser l’entrée avant de
l’exécuter.
Par exemple, dans l'exemple ci-dessus, nous avons constaté que le code faisait un ping et que tout ce que nous avons
mis dans la zone de texte sera considéré, donc je suis placé ici sous la zone de texte Slashdot, juste pour montrer que c'est
l'entrée la zone de texte.
Voici à quoi ressemble le programme.
Si cela semble trop compliqué, oubliez-le, nous ne parlons que du concept.
Nous allons donc en parler ici.
Supposons, par exemple, que vous indiquez ce que nous avons fait, c’est que nous utilisions une adresse IP normale, puis le
point-virgule, puis une commande que nous voulions utiliser.
Le problème avec ceci est l'application Web utilisée pour prendre cela de la façon dont elle est
copiée et exécutée ici, ce qui, lorsque vous exécuterez cette commande, fera le ping en premier, puis le
LS L. UNE. qui est la commande que nous voulions.
Ce que vous devez faire, par exemple, c'est que si vous deviez le faire, je vous conseille de ne pas utiliser
ces fonctions si vous devez utiliser une fonction comme celle-ci.
Ensuite, ce que vous devez faire est de vérifier que l’entrée correspond à ce que vous attendez.
Par exemple, vous attendez une adresse IP et rien d’autre.
Ainsi, vous pouvez utiliser regex pour vous assurer de ne pas parler de projets ou de ce
que Rodricks est: Rodricks est une règle qui garantit que l'entrée ressemble au format
suivant, de sorte qu'il faut un chiffre pour chaque chiffre ce chiffre qui, si je mets autre chose, l’application
Web devrait le refuser.
Et c'est exactement ce que le haut niveau de sécurité fait pour le code.
Donc, je sais que nous parlons de tests de boîte noire et de tout le reste, mais je veux vous montrer à quoi votre
code devrait ressembler.
Donc, si nous allons dans les paramètres de sécurité et que je vais régler ce problème trop haut, cela s'appelle en fait impossible
et les nouvelles versions d'un DVD que j'ai acheté ont été utilisées dans celui qui vient avec moi, il est flottable et
s'appelle simplement haut.
Donc, la raison pour laquelle ils appellent cela impossible parce que c'est très sécurisé.
Donc, si vous revenez à l'exécution de la commande et que je vais simplement vous donner la source pour vous montrer ce
qu'ils font.
Ils sont donc mis en œuvre de manière très similaire à l'utilisation et aux projets.
Je pense que les projets utilisateur pourraient être un peu plus agréables en termes d’apparence du code, mais il n’ya
pas le même concept.
Donc, en gros, ils ont les objectifs ici.
Donc, voici ce que vous indiquez, c’est ce que nous mettons ici.
Ainsi, tout ce que vous tapez ici deviendra cette variable ici, la cible du dernier dollar.
La première chose qu'ils font, c'est qu'ils se déshabillent ensuite.
Ils divisent l'IP en utilisant cette fonction.
Donc, ce que cette fonction fait, c'est le périphérique IP basé sur le point.
Nous avons donc le numéro numéro ce numéro numéro ce numéro numéro ce numéro.
Donc, divisant cette pensée dans un tableau.
Ainsi, par exemple, si vous avez
une adresse IP qui dit: quand nous mettons notre adresse IP qui est 10 20 14: 2 ou 8, quelle fonction fait cette fonction que la fonction explose fait
ici, il divisera ceci en quatre et en un tableau de quatre .
Donc, les tableaux vont être quelque chose comme ça.
Ce sera 10 20 14 troit OK.
Et chacun de ces éléments peut être consulté à partir d’un numéro situé ici.
Donc, ce qu’ils font, c’est qu’ils vérifient si chacun de ces éléments est un nombre et il vérifie s’il est numérique pour les mises
à jour pour le 0 pour celui pour les deux et pour les trois et que vérifie pour cet
élément cet élément cet élément et cela élément.
Donc, ils s'assurent que nous avons un numéro numéro numéro numéro.
Nous essayons donc d’injecter notre code ici, quels que soient les caractères que nous utilisons, les astuces que nous utilisons.
Tant que nous allons mettre des caractères ici, par exemple P. W. les personnages vont entrer
ici aussi dans le dernier élément.
Et un ce dernier élément est vérifié en utilisant cette fonction en utilisant la fonction is numerus.
Cela provoquera une erreur car, de toute évidence, le numéro deux ou huit points-virgules PWT n’est pas un nombre.
Et cela nous donnera une erreur en disant que nous avons entré une adresse IP invalide.
La meilleure façon de le faire est donc de vous assurer que ce que l'utilisateur a importé correspond à ce que vous attendez.
Dans ce cas, nous nous attendons à un nombre numéro nombre numéro Dauth numéro numéro numéro numéro
numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro
numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro numéro indiquer qu'il est correct.
Et ce ne sera pas le cas, et les pirates informatiques ne pourront pas l'utiliser pour pirater notre serveur.