Regex-Sicherheit mit /e (Allgemeines zu Perl)

[thread]16836[/thread]

Regex-Sicherheit mit /e

Tags: perl5 Ähnliche Threads

Leser: 23

Articles: hide open all | hide show old branches

+4 replies
marky

2011-10-22 08:35
User since
2003-08-15
215 Artikel
BenutzerIn
Hallo,

ich bin gerade will zum Thema gelesen und auch wirklich viele neue Dinge gelernt mit Null-Byte-Hacks etc. - ein Tipp lautet auch immer keine UserVars in /e Regexe zu übernehmen, das geht aber nicht immer so einfach, ich habe auch vieles versucht, konnte aber keine Code ausführung provizieren, bei zb. dem folgenden Code
Code: (dl )

$t =~ s/\[GETPARA:(.*?)\]/encode_entities($GETPARA{$1})/eg ;
hat jemand eine Idee, mit was für einem String man hier zusätzlichen Code ausführen könnte. Ich habe so viel mit system backticks oder auch einfach nur anderen befehlen probiert, aber bisher keine Ausführung zustande gebracht. Den gleichen Code ohne /e zu machen, wäre doch vergleichsweise umständlich.

Vielleicht hat hier ja jemand einen weiteren Tipps für mich, wie man das theoretisch machen könnte.
Mfg
Markus - http://www.perlunity.de -
- +3 replies
- pq
  
  2011-10-22 10:23
  
  User since
  2003-08-04
  12208 Artikel
  Admin1
  
  /e ist hier nicht gefährlich, da im prinzip gar kein string-eval ausgeführt wird. erst /ee tut das. /e kannst du also gefahrlos verwenden
  Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
  lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
  - +2 replies
  - marky
    
    2011-10-22 19:14
    
    User since
    2003-08-15
    215 Artikel
    BenutzerIn
    
    Hallo,
    
    danke - das /ee kannte ich gar nicht. Muss ich mal genau lesen, wie die beiden zueinander verhalten. Aber gut ist das so, die Ersetzungslogik kommt so im Template-System oft vor, das immer eine schleife zu packen, wäre schon ein grosser Umstand als Alternative zu dem Einzeiler.
    Mfg
    Markus - http://www.perlunity.de -
    - pq
      
      2011-10-23 10:33
      
      User since
      2003-08-04
      12208 Artikel
      Admin1
      
      das /e ist einfach kein eval in dem sinne - der teil in der substitution ist regulärer code, der auch schon beim kompilieren gecheckt wird.
      ist also ungefähr so wie der folgende code:
      
      Code (perl): (dl )
      
      1 2 3 4
      
      if (m/.../) { # ersetze gematchten string durch encode_entities($GETPARA{$1}); }
      
      /ee dagegen wendet tatsächlich ein eval auf die substititution an, weshalb $1 gefährlich werden könnte:
      
      Code (perl): (dl )
      
      1 2 3 4
      
      if (m/.../) { # ersetze gematchten string durch eval "encode_entities($GETPARA{$1})"; }
      
      Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
      lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem

View all threads created 2011-10-22 08:35.