જવાબમાં અસુરક્ષિત કોડ શોધો

What this lesson is about

એવો જવાબ શોધો જે ચાલે છે પણ વાપરવો યોગ્ય નથી. તે ડિલીટ કરે છે, ડેટા લિક કરે છે, અથવા કોઈ પણ ઇનપુટ પર વિશ્વાસ કરે છે.

તમારા ઓફિસ સર્વર પર અપલોડ ફોલ્ડર સાફ કરતી એક સબમિટ કરેલી પ્રોગ્રામ છે, અને તેની સાથે આવેલી દરેક ટેસ્ટ પાસ થઈ ગઈ. હવે શું કરશો?

Why this matters

સાચું અને સલામત હોવું બે અલગ પ્રશ્નો છે, અને ટેસ્ટ ફક્ત પહેલા માટે જવાબ આપે છે. કોઈ જવાબ બધું પાસ કરીને પણ ફોલ્ડર ડિલીટ કરી શકે છે, ફાઈલ બહાર મોકલી શકે છે, અથવા વપરાશકર્તા જે લખ્યું તે ચલાવી શકે છે. આ વાત કહેવી રિવ્યુઅરનું કામ છે.

એ લાઈન નામ આપો જે ચાલતી જવાબને અસુરક્ષિત બનાવે છે અને તેની જગ્યાએ સલામત લાઈન લખો.

ત્રણ પ્રકારના જવાબો નકારી દો: પૂછ્યા વિના ડિલીટ કરનારો, ડેટા બહાર મોકલનારો, કોઈ પણ ઇનપુટ ચલાવનારો.
કોડમાં લખાયેલું API કી, પાસવર્ડ કે વ્યક્તિગત માહિતી એક નિષ્ફળતા છે.
કહો કે વાસ્તવિક ડેટા પર ચાલવાથી શું નુકસાન થશે, કારણ કે એ જ રિવ્યુ છે.

Task

એ જવાબની સમીક્ષા કરો જે નાના ઓફિસ સર્વરનો અપલોડ ફોલ્ડર સાફ કરે છે.

Weak approach નમૂના ફાઇલો પર ચલાવે છે, દરેક લાઇન વાંચે છે, અને ફોલ્ડર સાફ મળ્યો હોવાથી જવાબ સાચો માનવે છે. તે નમૂનાના ફાઇલ નામ બધા તેના પોતાના હતા.

Stronger approach લાઇન 14 બતાવે છે, જ્યાં ફાઇલનું નામ શેલ કમાન્ડમાં જાય છે. કહે છે કે નામમાં semicolon હોય તો તેના પછીનું બધું ચાલશે.

Why the stronger approach works બન્ને જવાબો માનવે છે કે કોડ ચાલે છે. ફક્ત એક કહે છે કે બીજાના નામવાળી ફાઈલ પર શું થશે.

Try a changed situation એક સાથીદારે નોટબુક શેર કરી છે જે ચાલે છે. લાઈન 2માં તેની પોતાની કી સાદા ટેક્સ્ટમાં લખેલી છે. તે કહે છે કે તે ફક્ત ટેસ્ટ માટે છે. તમે શું લખશો?

Make something yourself એવો જવાબ શોધો જે ચાલે છે અને છતાં અસુરક્ષિત છે. ચોક્કસ લાઈન લખો, વાસ્તવિક ડેટા પર તે શું કરશે, અને તેની જગ્યાએ સલામત લાઈન શું રાખશો.

Read the primary or official source: Python documentation · subprocess security