Foro - Perl en Español

por **memrobles** » 2015-12-07 19:53 @870

Hola, buenas tardes.

Soy nuevo en Perl y estoy interesado en publicar unas tablas de MySQL en la web con Perl. Empezaré por el login. La verdad que este código lo he encontrado en este mismo foro. Me gustaría saber que tan seguro es usar este código:

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

#!/usr/bin/perl
    #
    # Ejemplo de CGI::Session para login
    #
    use strict;
    use warnings;
    use diagnostics;
     
    use CGI::Session;
    use CGI ':standard';
    use CGI::Carp qw'fatalsToBrowser warningsToBrowser';
     
     
    ## Creamos el objeto CGI
    my $cgi = CGI->new();  
     
    ## Creamos el objeto CGI::Session
    my $session = CGI::Session->new("driver:File", $cgi, {'Directory'=>'/tmp/'})
        or die CGI::Session->errstr;
     
    ## Enviamos la cookie de sesión al usuario
    print $session->header;
     
    # Aquí guardaremos el perfil del usuario
    my $perfil;
     
    ## Inicialización
    if ( not $session->param('~registrado') ) {     # si el usuario no está registrado
     
        # vemos si se está registrando en este momento
        if (my $nombre = $cgi->param('login_nombre')) {
            my $passwd = $cgi->param('login_passwd');  
     
            # Vemos si es un usuario conocido por nosotros
            # si lo es, obtenemos su perfil
            if ($perfil = usuario_registrado($nombre, $passwd)) {
               
                # Guardamos el perfil asociado a la sesión
                $session->param('perfil', $perfil);
                $session->param('~registrado', 1);
            }
            else {  # Es un desconocido, le pedimos que rellene el registro otra vez
                presenta_login('Usuario desconocido');
                exit;
            }
        }
        else {      # No está registrado ni se está registrando
           presenta_login('Identifíquese');
           exit;
        }
    }
    else {          # es un usuario registrado (hay una sesión de él)
        # recuperamos el perfil, desde la sesión
        $perfil = $session->param('perfil');
    }
     
     
    # A partir de aquí, sabemos qué usuario es, y su perfil
    # Podemos presentarle las opciones propias de un usuario registrado
    my $nombre = $perfil->{nombre};         # otra forma de hacerlo sería recuperar esta información
    my $email  = $perfil->{email};          # desde la base de datos, ya que sabemos qué usuario es
     
    if ($cgi->param('Desconectar')) {       # caso de que el usuario quiera desconectarse
        $session->clear(['~registrado']);   # olvidamos que estaba registrado
     
        print       # despedida
            start_html('Desconexión'),
            h1('Desconexión'),
            hr(),
            p("Adios, $nombre"),
            end_html()
            ;
    }
    else {          # una página normal
        print
            start_html('Bienvenido'),
            h1('Bienvenido'),
            hr(),
            p("Bienvenido $nombre ($email)"),
            hr(),
            p(a({-href=>'ficheros.html'},'Ver lista de ficheros')),
            p(a({-href=>$cgi->url() . '?Desconectar=1'},'Desconectar')),
            end_html()
            ;
    }
     
    # Perfil de un determinado usuario
    sub usuario_registrado {
        my ($nombre, $passwd) = @_;
     
        # aquí consultaríamos una base de datos, por ejemplo
        if ($nombre eq 'JF'  and  $passwd eq '2010') {
            # si es un usuario en nuestra base de datos, recuperamos su perfil
            return { nombre => $nombre, email => '[email protected]' };
        }
         
        return;
    }
     
    # Presenta el formulario de entrada
    sub presenta_login {
        my $titulo = shift;
     
        print
            start_html,
            h1('Registro de entrada: ' . $titulo),
            start_form,
            p('Nombre: '     . textfield('login_nombre')),
            p('Contraseña: ' . password_field('login_passwd','',8,8)),
            p(),
            submit('Entrar'),
            end_form,
            end_html()
            ;
    }
Coloreado en 0.004 segundos,  usando GeSHi 1.0.8.4

La subrutina usuario_registrado, la voy a reemplazar por un consulta MySQL: Es aquí donde tengo duda si alguien puede descargar el código para hackear el usuario y contraseña, ¿qué podría hacer?

Saludos y gracias.

Bienvenido a los foros de Perl en Español, memrobles.

Efectivamente: no hay que fiarse de lo que llega de fuera.

Perl tiene un modo de funcionamiento llamado 'tainted' (manchado, entintado o contaminado), por el cual, todo lo que llega del exterior se considera que está "manchado". Y manchará todo lo que toque dentro de Perl a menos que sepamos cómo "limpiarlo".

(el modo 'taint' se explica en la sección 'Taint mode' del documento perlsec.pod Usar perldoc perlsec desde la línea de comandos).

Podemos activarlo colocando un '-T' en la primera línea del programa: !/usr/bin/perl -T

A partir de ese momento, las variables que reciban información del exterior estarán "contaminadas".

Entonces lo que hacemos es "lavarlas" para quitarle la suciedad. En nuestro caso, podemos decir que la condición básica que deben cumplir tanto el $nombre como el $passwd del usuario es que se componen exclusivamente de caracteres alfanuméricos. Momento ideal para aplicar una sencilla expresión regular:

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

        if ($nombre =~ /^([\w.]+)$/) {           # el $nombre debe contener solo caracteres alfanuméricos, más el punto
            $nombre = $1;                        # ahora $nombre queda limpio
        }
        else {
            warn "Datos erróneos en '$nombre'";  # registramos algo extraño
            return;                              # regresamos con error
        }
 
        # lo mismo para $passwd
Coloreado en 0.001 segundos,  usando GeSHi 1.0.8.4

(ejemplo sacado de la sección 'Laundering and Detecting Tainted Data' en perlsec).

Hay otro nivel de seguridad más: la propia base de datos.

Mucha gente aplica lo que le llega del exterior en la consulta a la base de datos:

my $sth = $dbh->prepare("SELECT * FROM usuarios WHERE nombre='$nombre' AND password='$passwd'"); # ¡NO HACER ESTO! ¡CACA!

y es donde vienen los problemas: $nombre o $passwd pueden contener parte de código SQL, que es lo que se llama inyección de código.

Lo que se puede hacer es usar el 'binding' de los argumentos:

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

my$sth=$dbh->prepare('SELECT * FROM usuarios WHERE nombre = ? AND password = ?');
$sth->execute($nombre,$passwd);Coloreado en 0.001 segundos,  usando GeSHi 1.0.8.4

(Ver la sección 'DESCRIPTION' en DBD::mysql). Ellos se encargarán de "escapar" los caracteres extraños.

Hilo relacionado: Problemas con Taint mode en CGI usando Perl 5.14 en Windows

por **memrobles** » 2015-12-20 22:12 @966

Gracias, explorer.

Ya se valida el número de caracteres, lo puse solo a 4 dígitos alfanuméricos, pero no puedo hacer que valide desde la base :cry:

Esto es lo tengo.

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

sub usuario_registrado {
    my ($nombre, $passwd) = @_;
    my $username;
    my $password;
 
    my $dsn = "DBI:mysql:database=basetest;host=127.0.0.1";
    my $dbh = DBI->connect($dsn, "usertest", "123456");
    my $sql = q{select count(*) from users where username = ? and password = ?};
 
    if ($nombre =~ /\w{4,}/) {          # el $nombre debe contener solo 4 caracteres alfanuméricos
        #$nombre = $1;                  # ahora $nombre queda limpio # este linea la comente por que no me loguea
        if ($dbh->selectcol_arrayref($sql, undef, $username, $password)->[0] == 1) {
            print "login"; # logeado
            return { nombre => $nombre, email => '[email protected]' };
        }
        else {
            print "login incorret"; return;   # login error
        }
    else {
        warn "Datos erróneos en '$nombre'";  # registramos algo extraño
        return;                              # regresamos con error
    }
    return;
}
Coloreado en 0.001 segundos,  usando GeSHi 1.0.8.4

Ya no sé por dónde más buscarle. ¿Alguien me podría ayudar, por favor?

por **explorer** » 2015-12-21 03:37 @192

Pues porque en ningún sitio estás estableciendo el valor para la variable $username ni $password.

Quedaría algo así (no probado):

Sintáxis: [ Descargar ] [ Ocultar ]

Using perl Syntax Highlighting

sub usuario_registrado {
    my($nombre, $passwd) = @_;
 
    if ($nombre =~ /^\w{4}$/) {                 # el $nombre debe contener 4 caracteres alfanuméricos
 
        my $dsn = "DBI:mysql:database=basetest;host=127.0.0.1";
        my $dbh = DBI->connect($dsn, "usertest", "123456");
        my $sql = $dbh->prepare('select count(*) from users where username = ? and password = ?');
        my $res = $dbh->selectcol_arrayref($sql, undef, $nombre, $passwd);
 
        if ($res->[0] == 1) {
            print "logged";                     # logeado
            return { nombre => $nombre, email => '[email protected]' };
        }
        else {
            print "login incorrect"; return;    # login error
        }
    else {
        warn "Datos erróneos en '$nombre'";    # registramos algo extraño
    }
 
    return;                                     # regresamos con error
}
Coloreado en 0.001 segundos,  usando GeSHi 1.0.8.4

Además ponemos un par de anclas en la expresión regular, para ajustar el nombre de usuario a exclusivamente lo que queremos.22

Foro - Perl en Español

Seguridad CGI

Seguridad CGI

Publicidad

Re: Seguridad CGI

Re: Seguridad CGI

Re: Seguridad CGI

¿Quién está conectado?