污点检验

✍ dations ◷ 2025-06-08 05:46:06 #计算机编程,静态程序分析

污点检验是某些程序语言所拥有的特性,例如Perl和Ruby,可用于增加安全性和避免恶意用户在主机上执行命令。污点会检验突出的安全风险,一般来说这些风险与那些使用SQL注入或缓冲区溢出攻击的网站相关。

污点检验的原理是任何变量(例如在网页表单区域的一个变量集)能够被外部用户修改,从而造成了潜在的安全危险。如果该变量被一个表达式赋值给第二个变量,那么第二变量也是可疑的。污点检验工具在变量间传递运行,直到外部输入潜在地影响到所有的变量。如果这些变量中任何一个变量被用于执行危险命令(例如对SQL数据库或主机操作系统的直接命令),污点检检验工具将警告该程序正在使用有潜在危险的污点变量。程序员可以通过重新设计程序来避免因危险的输入而导致的安全问题。

污点检验能够被视为一个无界面全面验证的保守近似或者是更一般化的安全信息流概念。因为系统中的信息流不能通过检验一个简单的执行追踪而被验证,污点分析的结果将必然地反映关于该系统信息流特征的近似信息。

以下危险的Perl代码在没有检验$name变量的值情况下,启动了一个大型SQL注入漏洞:

#!/usr/bin/perlmy $name = $cgi->param("name");  # Get the name from the browser...$dbh->TaintIn = 1;$dbh->execute("SELECT * FROM users WHERE name = '$name';"); # Execute a SQL query

如果开启污点检验,那么Perl将会拒绝运行命令,显示错误信息并退出,因为一个污点变量正在SQL查询中被使用。没有污点检验,用户能进入foo'; DROP TABLE users --,因此运行命令将删除全部的数据库表。更安全的方法是将$name的污点值编码到一个SQL字符串字面值和使用SQL查询的结果,这保证了没有嵌入在$name的危险命令会被执行。另一方法是使用预处理语句去净化所有变量输入。

需要注意的是Perl DBI需要设定数据库句柄的TaintIn属性,才允许污点模式去检验该SQL字符串。

Perl从至少1989年当T switch加入到Perl 3的时候开始支持污点化。

在1996年,网景同时在网景通讯服务器的服务器端JavaScript和客户端的网景浏览器3上实现数据污点化。然而,自从客户端支持被当作实验性功能,该功能被禁用(要求用户手动激活),而且需要页面作者修改脚本才能使用。而其他浏览器从未实现这个功能,通讯服务器也没有大体完成,微软后来成了新的互联网信息提供商。

相关

  • 滤泡卵泡是女性生殖生物学的基本单位,生长于卵巢之中的它们是一个个圆球状的细胞聚合体。每个卵泡之中都会有一个卵母细胞(也就是卵子的原形)。这些结构在经过周期性的生长和发育之
  • 李昰应兴宣大院君(1820年12月21日-1898年2月22日)是朝鲜王朝的宗室成员与政治家,为朝鲜王朝第26代君主高宗的生父。本贯全州李氏,讳昰应,字时伯,号石坡、海东居士,居于云岘宫,时人称之云岘,
  • 加氏犬浣熊(B. gabbii)加氏犬浣熊(Bassaricyon gabbii)是第一种发现的犬浣熊。它们分布在中美洲及南美洲。
  • 2019冠状病毒病辽宁省疫情2019冠状病毒病辽宁省疫情,介绍2019冠状病毒病疫情中,在中华人民共和国辽宁省发生的情况。2020年1月21日,辽宁省大连市出现首例疑似病例,此患者出现病征前曾前往武汉。1月22日,通
  • 硝酸镍硝酸镍是镍的硝酸盐,化学式为Ni(NO3)2,以六水合物Ni(NO3)2·6H2O最为常见。硝酸镍是一种绿色单斜结晶,有吸潮性,在潮湿空气中迅速潮解,在干燥空气中稍微风化。易溶于水、氨水、液
  • 坚定决心行动战役及冲突事件大规模攻击外国势力介入伊斯兰国的群体灭绝伊斯兰国的战争罪行坚定决心行动(英语:Operation Inherent Resolve,缩写:OIR,或译坚决行动),是指在2014年对伊斯兰国的军
  • 集体动物行为集体动物行为又可称为动物集体行为,是指除了人类以外的生物的集体行为。在这些动物的集体行为中,包括觅食,迁徙甚至集体自杀,以及在灾难前集体逃跑。
  • 大丽菊大丽菊属(学名:),又名为大丽花、大理花、天竺牡丹,是菊目菊科丛生植物的一个属,原产美洲,是墨西哥的国花。1789年瑞典植物学家林奈的学生安德烈·达尔(Andrea Dahl)首次将之种于西班
  • 短萼齿木属短萼齿木属(学名:)是茜草科下的一个属,为灌木或小乔木植物。该属共有4种,分布于印度、马来西亚。本属模式种:短萼齿木 Hook. f.
  • 林卓宇林卓宇(1995年11月17日-),生于湖南浏阳。湖南省作家协会会员,已出版作品多部。获得第二届鲁迅青少年文学奖大奖、第五届冰心作文奖、第八、九、十、十一届中国少年作家杯征文大赛