Porozmawiajmy teraz o tym, jak możemy teraz zapobiec tym lukom, a te exploity umożliwiły nam
uruchomienie dowolnego kodu na komputerze tabletu.
Ponownie tej funkcji należy unikać, należy unikać pozwalania użytkownikom na uruchamianie dowolnego kodu
na serwerze.
Staraj się unikać wszystkich tych funkcji, takich jak złe przejście i wszystkie te funkcje, które
pozwalają użytkownikowi na uruchomienie kodu systemu operacyjnego na serwerze.
Jeśli koniecznie musisz użyć czegoś podobnego, to upewnij się, że przeanalizowałeś dane wejściowe przed jego
wykonaniem.
Na przykład w przykładzie zobaczyliśmy, gdzie kod wykonał polecenie ping i pomyśli wszystko, co umieściliśmy w polu
tekstowym, więc umieszczam je tutaj jako pole tekstowe Slashdot tylko po to, aby pokazać, że jest to dane wejściowe,
które wprowadziliśmy pole tekstowe.
Tak naprawdę wygląda program.
Jeśli wydaje się to zbyt skomplikowane, zapomnij o tym, po prostu mówimy o koncepcji tutaj.
Więc będziemy o tym tutaj mówić.
Powiedzmy na przykład, że umieściliśmy to, co zrobiliśmy, ustawiliśmy normalny adres IP, a następnie wstawiliśmy średnik, a następnie wprowadziliśmy polecenie, które
chcieliśmy zrobić, tak samo zrobiliśmy na przykład LS.
Problem polega na tym, że aplikacja internetowa jest używana do tego, w jaki sposób jest kopiowana
i uruchamiana w tym miejscu, co spowoduje, że gdy wykonasz to polecenie, najpierw wykona ping, a następnie wykona
LS L. ZA. które jest polecenie, które chcieliśmy.
To, co musisz zrobić, to na przykład, jeśli musisz to zrobić, to radzę nie używać tych
funkcji, jeśli musisz użyć funkcji w taki sposób.
Następnie powinieneś sprawdzić, czy dane wejściowe są zgodne z oczekiwaniami.
Na przykład spodziewano się adresu IP i nic więcej.
Więc możesz użyć wyrażenia regularnego, aby upewnić się, że nie zamierzasz mówić o projektach
lub Rodricksa Rodricksa jest zasadą, która sprawi, że dane wejściowe będą wyglądać
w następującym formacie, więc zajmuje cyfrę, że cyfra cyfrowa tę cyfrę, która, jeśli umieściłbym cokolwiek innego, aplikacja
internetowa powinna odmówić.
I właśnie to robi wysoki poziom bezpieczeństwa dla kodu.
Więc wiem, że mówimy o testowaniu czarnej skrzynki i wszystkim, ale chcę pokazać, jak powinien wyglądać
twój kod.
Więc jeśli przejdziemy do ustawień bezpieczeństwa i zamierzam ustawić to zbyt wysoko, to tak naprawdę nazywa się to niemożliwe, a
nowe wersje kupionego DVD zostały użyte w tym, co jest ze mną, które jest płynne i nazywa się
po prostu "high".
A więc powód, dla którego nazywają to niemożliwym, ponieważ jest bardzo bezpieczny.
Więc jeśli przejdziesz do wykonania polecenia ponownie, a ja po prostu dam ci źródło, aby pokazać ci,
co robią.
Są więc implementowane w sposób bardzo podobny do użycia i projektów.
Myślę, że projekty użytkownika mogą być nieco lepsze pod względem wyglądu kodu, ale nie ma
takiej samej koncepcji.
Więc w zasadzie mają to cele tutaj.
Więc to jest to, co wpisujesz, to tutaj umieszczamy.
Więc cokolwiek tu wpiszesz, pojawi się jako ta zmienna właśnie tutaj, ten ostatni cel dolara.
Pierwszą rzeczą, którą robią, jest to, że są rozebrani i odcięci po tym, jak to zrobią.
Dzieli IP za pomocą tej funkcji.
Więc to, co robi ta funkcja, to urządzenie IP oparte na kropce.
Tak więc mamy numer numer, który numer ten numer numer ten numer.
Więc dzieląc tę myśl na tablicę.
Na przykład, jeśli masz adres
IP, który mówi tak, kiedy umieszczamy nasz IP, który jest 10 20 14: 2 lub 8, co ta funkcja robi, co powoduje funkcja rozbicia
tutaj, podzieli ją na cztery i na tablicę czterech elementów .
Więc tablice będą czymś w tym stylu.
Będzie to 10 20 14 żołnierzy OK.
I każdy z tych elementów może być dostępny na podstawie liczby właśnie tutaj.
Więc to, co robią, to sprawdzenie, czy każdy z tych elementów jest liczbą, więc sprawdza, czy jest numeryczny dla aktualizacji
dla 0 dla jednego dla dwóch i dla trzech i który sprawdza dla tego elementu ten
element ten element i to element.
Więc upewniają się, że mamy numer z numerem.
Dlatego staramy się wprowadzić nasz kod właśnie tutaj, bez względu na to, jakich znaków używamy, jakie sztuczki używamy.
Dopóki będziemy umieszczać tutaj postacie na przykład P. W. postacie będą wchodzić
tutaj również w ostatni element.
I jeden z tych ostatnich elementów jest sprawdzany przy użyciu tej funkcji za pomocą funkcji is numerus.
To spowoduje błąd, ponieważ oczywiście nie jest to numer dwa lub osiem średników PWT nie jest liczbą.
A to spowoduje błąd, mówiąc, że wprowadziliśmy nieprawidłowy adres IP.
Najlepszym sposobem na zrobienie tego ponownie jest upewnienie się, że zaimportowane przez użytkownika elementy są zgodne z oczekiwaniami.
W tym przypadku spodziewamy się numeru numeru Dauth numeru, który numer ten numer i
numer numeru, tak podzielony na cztery argumenty i upewnij się, że każdy
z tych elementów jest liczbą, pomoże nam chronić to wejście i zweryfikować wprowadź, że jest poprawny.
I nie będzie, a hakerzy nie będą mogli użyć go do włamania się do naszego serwera.