Bezpečnostní zneužití wildcards v Unixu

Martin Schlemmer

verified

(36 hodnocení)

26. 8. 2014 07:27:10

Unix Wildcards Gone Wild

Řešením je prefixovat každou wildcard

Nebo odsadit všechny wildcards za "--"

Viz také

Filenames and Pathnames in Shell (bash, dash, ash, ksh, and so on): How to do…

26. 8. 2014 07:27:10

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050131

verified

26. 8. 2014 12:28:31

Proc? Vzdyt je to blbost to delat.

26. 8. 2014 12:28:31

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050130

Martin Schlemmer

verified

(36 hodnocení)

26. 8. 2014 12:37:51

Je blbost dělat co?

26. 8. 2014 12:37:51

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050129

verified

26. 8. 2014 15:38:41

Napsal Martin Schlemmer;1118506
Je blbost dělat co?

Prefixovat to, mozna mi neco unika, ale nevidim duvod proc to delat.

---------- Příspěvek doplněn 26.08.2014 v 15:48 ----------

Jestli to je jen kvuli nehode, neni lepsi si dat do aliasu pro rm "rm -i" ? Ono se to pak zepta:

# rm -rf -i *

rm: descend into directory `bin'?

26. 8. 2014 15:38:41

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050128

verified

31. 8. 2014 21:50:20

Tohle tema jsem fakt asi nepochopil.

31. 8. 2014 21:50:20

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050127

Juraj Kostolanský

verified

(18 hodnocení)

31. 8. 2014 22:39:33

Presne tak, nepochopil. Treba si poriadne prečítať článok. Ide o to, že ak v linuxe pustíš príkaz s wildcardom, názvy súborov sú argumentami. Ak je názov niektorého súboru takým argumentom, ktorému daný program rozumie inak ako názvu súboru (typicky začína na "-"), tak sa tým ovplyvní vykonávanie toho programu. V článku napr ukážka

(napr. aj cronom v rámci zálohovania), ak v sa danom priečinku nachádza súbor, ktorého názov je parametrom pre daný program

môžeš tým napr. dosiahnuť spustenie podhodeného kódu iným userom (ktorý spúšťa ten príkaz s wildcardom, čo môže byť kludne zle vytvorený cron pre roota). Je preto dobrou praktikou používať vyššie spomenutý prefix "./*".

31. 8. 2014 22:39:33

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050126

verified

31. 8. 2014 23:21:33

Jo tak to uz chapu, nejak jsem se nad tim totiz nepozastavoval, protoze to za ty roky povazuju za samozrejmost a nejak si nejdriv kontroluju co mazu.

31. 8. 2014 23:21:33

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050125

Martin Schlemmer

verified

(36 hodnocení)

1. 9. 2014 12:34:27

Přečtěte si ten článek. Nejde o problém s rm, ale s wildcards, které se dají zneužít např. přes rm, rsync, tar apod. k vykonání vlastního příkazu.

1. 9. 2014 12:34:27

https://webtrh.cz/diskuse/bezpecnostni-zneuziti-wildcards-v-unixu#reply1050124

Pro odpověď se přihlašte.

Prodej Více

Doména – NejlepsiKurz.cz

5 000 Kč

0 příhozů

www.chat4touch.com doména pro živý chat, DA 24 již byla v provozu ale nyní je provoz přerušen, připraven pro relaunch, je možno dokoupit i web

15 000 Kč

0 příhozů

www.nahemodelky.cz , DA 24, dvoujazyčný web slouží k náboru modelek na live chat a získání nových zákazníků

8 000 Kč

0 příhozů

https://www.tvorbawebu.site

5 000 Kč

0 příhozů

Prodej webu Horoskop 24/7 – Automatizovaný portál (AI) s horoskopy pomocí ChatGPT

9 700 Kč

0 příhozů

Poptávky Více

Hledame vyvojare k vytvoreni vysokozatezoveho parseru

💼 Obchodní zástupce/kyně – Oblast vývoje software a DevOps engineering (DPP/IČO, remote) 🚀

Automatizace přeposílání emailu ,kde vybere podle zadání přílohy a přepošle

Nabídněte Vaše weby, které chcete prodat. 💸

✅ AKTUÁLNĚ: Hledáme parťáka/parťačku na dohazování webových zakázek

Pracovní nabídky Více

Kameraman / PPC sociální sítě

20 000 - 45 000 Kč

HLEDÁME LEKTORY TECHNICKÝCH KROUŽKŮ

PHP vyvojar k zhotoveni parseru – full Remote

Brno, České Budějovice, Hradec Králové, Jihlava, Karlovy Vary, Liberec, Olomouc, Opava, Ostrava, Pardubice, Plzeň, Práce z domu, Praha, Ústí nad Labem, Zlín

100 000 - 500 000 Kč

Vývojář interaktivních webových aplikací

Vývojář .NET aplikace (Blazor)

Nabídky Více

PROFESIONÁLNÍ HOSTING ZA AKČNÍ CENU

Nabízíme nastavení a správu PPC kampaní

Evropské dotace na ochranné známky a průmyslové vzory (design) v roce 2025.

Letecké záběry dronem – Foto & Video

✅ AKTUÁLNĚ: Hledáme parťáka/parťačku na dohazování webových zakázek