Foro - Perl en Español

por **Alfumao** » 2011-11-20 10:07 @463

¿Por qué no puedo usar este encabezado

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

#!c:/perl/bin/perl -T
Coloreado en 0.002 segundos,  usando GeSHi 1.0.8.4

en Perl 5.14 corriendo en Windows, para implementar el "#!c:/perl/bin/perl"?

Cuando lo escribo me sale el siguiente mensaje de error:

Sintáxis: [ Descargar ] [ Ocultar ]

Using text Syntax Highlighting

"-T" is on the #! line, must also be used on the comand line.Coloreado en 0.000 segundos,  usando GeSHi 1.0.8.4

¿A qué linea de comandos se refiere, a la de llamada del CGI?

Gracias por adelantado.

El mensaje de error se refiere a cuando ejecutas el programa desde la línea de comandos.

Dice que, si está marcada la opción '-T' en la línea shebang, también debe indicarse en la línea de comandos (en la terminal), cuando lo ejecutas de forma directa.

Así que, en lugar de escribir (en la línea de comandos)

perl programa.pl

o

./programa.pl

o

programa.pl

debes escribirlo así:

perl -T programa.pl

o

./programa.pl -T

o

programa.pl -T

No se refiere a cuando se ejecuta en modo CGI, sino solo cuando es ejecutado de forma directa.

por **Alfumao** » 2011-11-20 14:14 @635

Pues entonces no sé por qué deja de funcionar el CGI cuando hago el cambio y le pongo el -T en la línea de encabezado...

¿No hay una línea tipo "use warnings;" para poder poner la opción de Taint sin que dé error al ejecutar el programa?
Siento mucho venir siempre preguntando por cosas tan raras.
:wink:

Un saludo y gracias

por **explorer** » 2011-11-20 18:17 @803

¿Qué mensaje de error sale en los ficheros log del del servidor web?

por **Alfumao** » 2011-11-20 18:45 @822

Me sale esto:

Sintáxis: [ Descargar ] [ Ocultar ]

Using text Syntax Highlighting

Insecure dependency in open while running with -T switch at C:/xampp/htdocs/...Coloreado en 0.000 segundos,  usando GeSHi 1.0.8.4

por **explorer** » 2011-11-20 19:23 @849

Taint está haciendo su trabajo

Te está diciendo que estás intentando abrir un fichero usando una variable que está contaminada ("entintada", tained) con información -insegura- del exterior del programa (posiblemente enviada por un usuario, pero podría ser un hacker malicioso).

Debes descontaminar esa variable, antes de poder utilizarla.

Es lo que tiene usar el modo Taint, que nos obliga a estas normas de seguridad, para que no haya agujeros de seguridad.

Más información en perldoc perlsec. Busca por "Insecure dependency".

por **Alfumao** » 2011-11-21 04:57 @248

Voy a mirar la documentación que me señalaste, pero antes te dejo las líneas completas del error y la línea del CGI donde se localiza el problema. No alcanzo a comprender que es lo dañino...

[Sun Nov 20 20:06:18 2011] [error] [client 127.0.0.1] Insecure dependency in open while running with -T switch at C:/xampp/htdocs/DB/C_SQL3.cgi line 97., referer: http://localhost/DB/CI.html

La línea implicada en el error de "Taint" y la relacionada con ella son las siguientes:

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

94. my $filename= "$col"."\-"."Sequences"."$$"."$^T"."\.txt";
Coloreado en 0.001 segundos,  usando GeSHi 1.0.8.4

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

97. open  SALIDA,'>>'."C:/xampp/htdocs/DB/Results/$filename" or die "ERROR: $!\n";
Coloreado en 0.001 segundos,  usando GeSHi 1.0.8.4

por **explorer** » 2011-11-21 10:45 @490

El error se refiere a que la variable $filename está contaminada, porque, a su vez, alguna de las variables $col y $sequences también lo están.

por **Alfumao** » 2011-11-23 04:48 @242

Hola explorer,

Leí el documento de perlsec y siguiendo sus instrucciones hice lo siguiente:

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

my $col= param('subunit');
 
############UNTAINTING $col####################   
    if ($col =~ /^([-\@\w.]+)$/) {
    $col = $1; # $data now untainted
    } else {
    die "Bad data in '$col'"; # log this somewhere
################################################
    }
Coloreado en 0.001 segundos,  usando GeSHi 1.0.8.4

Ahora me funciona el CGI sin problemas, aunque retarda un segundo la carga de la estructura del HTML/CSS de la web.

Deduzco que he de hacer lo mismo con todas las variables aunque entren a través de un formulario al CGI, ¿correcto?

por **explorer** » 2011-11-23 06:32 @314

Precisamente, por ser datos que recibimos a través de un formulario, es cuando más atención debemos prestar.

Todas ellas, contaminadas

Lo que me extraña es lo que dices que tarde un segundo en cargar el HTML/CSS.

Foro - Perl en Español

Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Publicidad

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

Re: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

¿Quién está conectado?