Printsiplar, siyosatlar va himoya Dasturiy ta'minot xavfsizligi

7.1.3 Buyruqning kiritilishi
Dinamik veb-sahifalar, masalan, serverda kodni bajaradi.
Bu veb-serverga ma'lumotlar bazalari yoki fayllar kabi boshqa
manbalardan boy tarkibni qo'shish imkonini beradi va
foydalanuvchini dinamik tarkib bilan ta'minlaydi. Dinamik veb-
sahifa ma'lumot to'plash, sahifani yaratish va server tomonida skript sifatida ishlaydi
Oldingi bo'limda muhokama qilingan pochta serverlariga o'xshab,
brauzerlar umumiy holat/uyma va bir nechta oqimlar (Firefox) bilan
bitta jarayon sifatida amalga oshirilishi yoki turli jarayonlarga
(Chromium) bo'linishi mumkin. Chromium uchun har bir yorliq
alohida jarayonga mos keladi. HTML-ni tahlil qilish va ko'rsatishning
murakkab va xatoga yo'l qo'yadigan vazifasi tashqi jarayonlar bilan
cheklangan o'zaro ta'sir qilish imkoniyatlari bilan himoyalanmagan
jarayonda qismlarga bo'linadi. Ushbu sinov muhiti tashqi o'zaro
ta'sirlarning cheklanganligini va taniqli API bilan cheklanishini ta'minlaydi.
7 misollar
110
Brauzerlar qat'iy xavfsizlik qoidalariga rioya qilishlarini ta'minlash uchun har
tomonlama sinovdan o'tkaziladi .
Unix falsafasi murakkab natijalarga erishish uchun oddiy
vositalar kombinatsiyasidan foydalanishdir . Shuning uchun
ko'pgina serverlar oddiy Unix buyruqlarini bajarish uchun yangi
jarayonlarni boshlash uchun int system (char *cmd) buyrug'idan
foydalanadilar. Shakllar yoki foydalanuvchi kiritishidan potentsial
buzilgan ma'lumotlar parametr sifatida ushbu skriptlar yoki
dasturlarga uzatiladi. Tizim buyrug'i kod va ma'lumotlar
aralashgan misoldir : bajariladigan buyruq ham, argumentlar ham bitta satrda uzatiladi.
Machine Translated by Google

---

uni foydalanuvchiga qaytarib yuboring. Kontentni boshqarish tizimi
ma'lumotlar bazasidan, fayllar to'plamidan va boshqa uzoq tomonlardan
tarkibni yuklashi, so'ngra ma'lumotni sayt shablonlari bilan kesishishi,
navigatsiya modullarini qo'shishi va foydalanuvchiga qaytarib yuborishi mumkin.
E'tibor bering, siz o'zingizning qochish funktsiyalaringizni
yozmasligingiz kerak, har bir veb- ramkada turli kontekstlarga ruxsat
beruvchi o'z qochish funksiyalari mavjud . Bundan ham yaxshiroq,
tizimdan foydalanish o'rniga, bir qator quyi jarayonlarni ishga
tushirish o'rniga faylni oching va o'qing .
Yuqoridagi PHP skripti foydalanuvchi tomonidan taqdim etilgan fayl
mazmunini foydalanuvchiga qaytarish uchun oddiy cat yordam
dasturidan foydalanadi. Afsuski , tizim to'liq qobiqni bajaradi, natijada
kuchli buyruqlar in'ektsiya zaifliklari paydo bo'ladi. Tizimga argumentlar
parametr faylida foydalanuvchi tomonidan taqdim etilgan qiymat bilan
birlashtirilgan mushuk qatoridir, masalan, http://web.site/?file=user orqali.
7 misollar
1 2
3 echo system("cat
".$_GET['file']); ?
> 4