Hallo Leute,

nachdem ich nun im Netz bereits unzählige Artikel über die Sicherheit von CGI Skripten gelesen habe, bin ich völlig ratlos geworden.

Ich verwende CGI.pm
aber damit allein scheint das Problem nicht lösbar zu sein.

Ich verwende HTML::Entyties
damit wird jeder HTML-Code (soweit ich das richtig sehe) vor dem Speichern in Hex-Code umgewandelt

Soweit ist das auch alles OK.
Mein Problem ist nun die Ausgabe von Datei-Inhalten die eben diesen Hex-Code enthalten.
Die Umwandlung ist ja einfach - aber nach der Umwandlung laufe ich dann ja wieder in die Falle dass jede Art von Zeichen per 'print' ausgeführt wird.

Habe ich mein Problem verständlich beschrieben?
Kann mir jemand helfen das Problem zu lösen?

Danke.

was kann print denn für schaden anrichten?
Und wo gibst du den HTML code den aus? bzw. was ist es denn für ein system, dass du programmiert hast?

Hmm, print ist eher dafür bekannt, etwas aszudrucken, als es auszuführen.
Wovor hast Du Sorge, etwa daß jemand ein Fremdprogramm startet?
Das kann Dir passieren, wenn Du ungeprüften Variableninhalte an andere Programme oder an eval übergibst oder in später auszuführenden Code einbettest (SQL etwa), - also vermeide das zuerst.
Da wo Du es doch brauchst, prüfst Du den Inhalt, ob es Dir gefällt ihn auszuführen.

Das war's in einer Nußschale. Wovor genau hast Du nun Sorgen?

Perl hat eigendlich mit der sicherheit keine grossen probleme, solange man einige grundrichtlinien beachtet.

1. lese allen userinput über die param funktion von CGI.pm ein (machst du ja anscheinend schon)
2. verwende keinen userinput in aufrufen von systemprogrammen. also z.b. system( "systembefehl" ); oder `systembefehl`
3. benutze kein eval.
4. wenn du datenbanken benutzt, dann benutze platzhalter. wenn du werte über platzhalter in ein sql-statement einfügst anstatt direkt variablen reinzuschreiben werden die strings/werte automatisch von deinem datenbanktreiber geprüft.

achja use strict; use warnings; aber das sollte eigendlich sowieso selbstverständlich sein.

wenn du diese punkte beachtest, sollte dir eigendlich nichts passieren. wenn du einen der punkte nicht beachten kannst, oder sorgen wegen einem bestimmten aufruf hast, dann stelle noch einmal eine konkretere frage.

Und wenn man doch mal User-Input fuer Systemaufrufe oder aehnliches braucht, dann halt entsprechend vorher pruefen.
Eventuell kann auch der Tainted-Mode hilfreich sein. Allerdings laeuft damit z.B. CGI::Session nicht.

[quote=Taulmarill,12.12.2005, 17:54]3. benutze kein eval.[/quote]
zumindest kein string-eval. block-eval, a la try/catch ist ja ok.

Bisher wurde in den Kommentaren nur davon ausgegangen, dass eine Gefahr fuer den Webserver abzuwenden ist. Aber andere Clients sind ebenso in Gefahr (z. B. durch Cross Site Scripting), wenn ungeprueft Formularinhalte wieder veroeffentlicht werden.

[quote=esskar,12.12.2005, 16:26]was kann print denn für schaden anrichten?
Und wo gibst du den HTML code den aus? bzw. was ist es denn für ein system, dass du programmiert hast?[/quote]
Mit:
print <<EOF;
HTML Tags
EOF
und eingebetteten Variablen, könnten die tollsten Sachen ausgeführt werden und Schaden anrichten.
(hab ich jedenfalls so gelesen)

[quote=Relais,12.12.2005, 16:27]Hmm, print ist eher dafür bekannt, etwas aszudrucken, als es auszuführen.
Wovor hast Du Sorge, etwa daß jemand ein Fremdprogramm startet?
Das kann Dir passieren, wenn Du ungeprüften Variableninhalte an andere Programme oder an eval übergibst oder in später auszuführenden Code einbettest (SQL etwa), - also vermeide das zuerst.
Da wo Du es doch brauchst, prüfst Du den Inhalt, ob es Dir gefällt ihn auszuführen.

Das war's in einer Nußschale. Wovor genau hast Du nun Sorgen?[/quote]
Sorgen habe ich z.B. dann, wenn jemand eine Grafik (Bild) hochläd.
Was passiert wenn das kein Bild (jpg, gif, usw.) ist, sondern eine Programm-Datei die nur als image.jpg oder image.gif (etc.) kaschiert ist?
Will sagen: was passiert wenn diese kaschierte Bild-Datei innerhalb eines Here-Dokuments ausgeführt wird?

[quote=Taulmarill,12.12.2005, 17:54]Perl hat eigendlich mit der sicherheit keine grossen probleme, solange man einige grundrichtlinien beachtet.

1. lese allen userinput über die param funktion von CGI.pm ein (machst du ja anscheinend schon)
2. verwende keinen userinput in aufrufen von systemprogrammen. also z.b. system( "systembefehl" ); oder `systembefehl`
3. benutze kein eval.
4. wenn du datenbanken benutzt, dann benutze platzhalter. wenn du werte über platzhalter in ein sql-statement einfügst anstatt direkt variablen reinzuschreiben werden die strings/werte automatisch von deinem datenbanktreiber geprüft.

achja use strict; use warnings; aber das sollte eigendlich sowieso selbstverständlich sein.

wenn du diese punkte beachtest, sollte dir eigendlich nichts passieren. wenn du einen der punkte nicht beachten kannst, oder sorgen wegen einem bestimmten aufruf hast, dann stelle noch einmal eine konkretere frage.[/quote]
Ja, diese Punkte habe ich alle beachtet.
(und natürlich auch use strict und use warnings) ;)