ಉತ್ತರದಲ್ಲಿ ಅಪಾಯಕಾರಿಯಾದ ಕೋಡ್ ಗುರುತಿಸಿ

What this lesson is about

ಚಾಲನೆಯಲ್ಲಿದ್ದರೂ ಬಳಸಬಾರದು ಅಂತಿರುವ ಉತ್ತರವನ್ನು ಹುಡುಕಿ. ಅದು ಅಳಿಸುತ್ತದೆ, ಡೇಟಾವನ್ನು ಹೊರಗೆ ಕಳುಹಿಸುತ್ತದೆ, ಅಥವಾ ಯಾವುದೇ ಇನ್‌ಪುಟ್ ಮೇಲೆ ನಂಬಿಕೆ ಇಡುತ್ತದೆ.

ನೀವು ಸಲ್ಲಿಸಿದ ಪ್ರೋಗ್ರಾಂ ನಿಮ್ಮ ಕಚೇರಿ ಸರ್ವರ್‌ನ ಅಪ್‌ಲೋಡ್ ಫೋಲ್ಡರ್ ಅನ್ನು ಸ್ವಚ್ಛಗೊಳಿಸುತ್ತದೆ, ಮತ್ತು ಅದರೊಂದಿಗೆ ಬಂದ ಪ್ರತಿಯೊಂದು ಪರೀಕ್ಷೆಯೂ ಪಾಸ್ ಆಗಿದೆ. ಈಗ ಏನು ಮಾಡಬೇಕು?

Why this matters

ಸರಿಯಾದುದು ಮತ್ತು ಸುರಕ್ಷಿತವಾಗಿರುವುದು ಎರಡು ವಿಭಿನ್ನ ಪ್ರಶ್ನೆಗಳು, ಮತ್ತು ಪರೀಕ್ಷೆಗಳು ಮೊದಲನೆಯದಕ್ಕೆ ಮಾತ್ರ ಉತ್ತರ ನೀಡುತ್ತವೆ. ಒಂದು ಉತ್ತರ ಎಲ್ಲವನ್ನೂ ಪಾಸ್ ಆಗಿ ಫೋಲ್ಡರ್ ಅಳಿಸಬಹುದು, ಫೈಲ್ ಹೊರಗೆ ಕಳುಹಿಸಬಹುದು, ಅಥವಾ ಬಳಕೆದಾರ ಟೈಪ್ ಮಾಡಿದ ಯಾವುದನ್ನಾದರೂ ಚಾಲನೆ ಮಾಡಬಹುದು. ಅದನ್ನು ಹೇಳುವುದು ವಿಮರ್ಶಕನ ಕೆಲಸಕ್ಕೆ ಸಂಬಳ.

ಚಾಲನೆಯಲ್ಲಿದ್ದರೂ ಉತ್ತರವನ್ನು ಅಪಾಯಕಾರಿಯಾಗಿ ಮಾಡುವ ಸಾಲನ್ನು ಹೆಸರಿಸಿ, ಮತ್ತು ಅದರ ಬದಲು ಸುರಕ್ಷಿತ ಸಾಲನ್ನು ಬರೆಯಿರಿ.

ಮೂರು ರೀತಿಯ ಉತ್ತರಗಳನ್ನು ನಿರಾಕರಿಸಿ: ಕೇಳದೆ ಅಳಿಸುವುದು, ಡೇಟಾವನ್ನು ಹೊರಗೆ ಕಳುಹಿಸುವುದು, ಯಾವುದೇ ಇನ್‌ಪುಟ್ ಅನ್ನು ಚಾಲನೆ ಮಾಡುವುದು.
ಕೋಡ್‌ನಲ್ಲಿ ಬರೆಯಲಾದ API ಕೀ, ಪಾಸ್ವರ್ಡ್ ಅಥವಾ ವೈಯಕ್ತಿಕ ವಿವರವು ತಪ್ಪಾಗಿದೆ.
ನಿಜವಾದ ಡೇಟಾದ ಮೇಲೆ ಇದನ್ನು ಚಾಲನೆ ಮಾಡಿದರೆ ಏನು ನಷ್ಟವಾಗುತ್ತದೆ ಎಂದು ಹೇಳಿ, ಏಕೆಂದರೆ ಅದೇ ವಿಮರ್ಶೆ.

Task

ಚಿಕ್ಕ ಕಚೇರಿ ಸರ್ವರ್‌ನ ಅಪ್ಲೋಡ್ ಫೋಲ್ಡರ್ ಅನ್ನು ಸ್ವಚ್ಛಗೊಳಿಸುವ ಉತ್ತರವನ್ನು ವಿಮರ್ಶಿಸಿ.

Weak approach ನಮೂನಾ ಫೈಲ್‌ಗಳಲ್ಲಿ ಓಡಿಸಿ, ಪ್ರತಿ ಸಾಲನ್ನು ಓದಿ, ಫೋಲ್ಡರ್ ಸ್ವಚ್ಛವಾಗಿ ಬಂದಿದ್ದರಿಂದ ಉತ್ತರವನ್ನು ಸರಿಯಾಗಿ ಗುರುತಿಸುತ್ತದೆ. ಆ ನಮೂನೆಯಲ್ಲಿ ಫೈಲ್‌ಗಳ ಹೆಸರುಗಳು ಅವನದೇ ಆಗಿದ್ದವು.

Stronger approach ಸಾಲು 14 ಅನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಅಲ್ಲಿ ಫೈಲ್ ಹೆಸರು ಶೆಲ್ ಕಮಾಂಡ್‌ಗೆ ಹೋಗುತ್ತದೆ. ಸೆಮಿಕೋಲನ್ ಇರುವ ಹೆಸರು ಇದ್ದರೆ ಅದರ ನಂತರ ಏನಾದರೂ ಓಡಬಹುದು ಎಂದು ಹೇಳುತ್ತದೆ.

Why the stronger approach works ಎರಡೂ ಉತ್ತರಗಳು ಕೋಡ್ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಒಪ್ಪುತ್ತವೆ. ಆದರೆ ಯಾರಾದರೂ ಬೇರೆ ಹೆಸರಿಸಿದ ಫೈಲ್ ಮೇಲೆ ಏನು ಆಗುತ್ತದೆ ಎಂದು ಹೇಳುವುದು ಒಂದೇ.

Try a changed situation ಒಬ್ಬ ಸಹೋದ್ಯೋಗಿ ಕೆಲಸ ಮಾಡುವ ನೋಟ್ಬುಕ್ ಹಂಚಿಕೊಂಡಿದ್ದಾರೆ. ಎರಡನೇ ಸಾಲಿನಲ್ಲಿ ಅವರ ಸ್ವಂತ ಕೀ ಸರಳ ಪಠ್ಯವಾಗಿ ಟೈಪ್ ಮಾಡಲಾಗಿದೆ. ಅವರು ಹೇಳುತ್ತಾರೆ ಇದು ಕೇವಲ ಪರೀಕ್ಷೆಗೆ ಮಾತ್ರ. ನೀವು ಏನು ಬರೆಯುತ್ತೀರಿ?

Make something yourself ಚಾಲನೆಯಲ್ಲಿದ್ದರೂ ಅಪಾಯಕಾರಿಯಾದ ಒಂದು ಉತ್ತರವನ್ನು ಹುಡುಕಿ. ನಿಖರವಾದ ಸಾಲನ್ನು, ನಿಜವಾದ ಡೇಟಾದ ಮೇಲೆ ಅದು ಏನು ಮಾಡುತ್ತದೆ, ಮತ್ತು ಅದರ ಬದಲು ನೀವು ಯಾವ ಸುರಕ್ಷಿತ ಸಾಲನ್ನು ಇಡುತ್ತೀರಿ ಎಂದು ಬರೆಯಿರಿ.

Read the primary or official source: Python documentation · subprocess security