Certas funções comportam-se de maneiras perigosas, independentemente de como são usadas. As funções nessa categoria foram muitas vezes implementadas sem levar preocupações de segurança em consideração.

Certas funções comportam-se de maneiras perigosas, independentemente de como são usadas. As funções nessa categoria foram muitas vezes implementadas sem levar preocupações de segurança em consideração.

Certas funções se comportam perigosamente, independentemente de como são usadas. As funções nesta categoria foram frequentemente implementadas sem consideração pela segurança.

Exemplo 1: Dada a URL http://www.example.com/index.php?param=..., o seguinte trecho de código php em index.php imprimirá o valor do parâmetro de URL param (passado no lugar de "...") na tela se ele corresponder à expressão regular POSIX '^[[:alnum:]]*$' que representa "zero ou mais caracteres alfanuméricos":

  <?php
    $pattern = '^[[:alnum:]]*$';
    $string = $_GET['param'];
    if (ereg($pattern, $string)) {
      echo($string);
    }
  ?>

Embora o Example 1 funcione conforme esperado na entrada alfanumérica, como a função ereg() não segura é usada para validar a entrada contaminada, é possível realizar um ataque cross-site scripting (XSS) por meio da injeção de byte null. Passar um valor param que contém uma string alfanumérica válida, seguida por um byte null e uma marca <script> (ex.: "Hello123%00<script>alert("XSS")</script>"), ereg($pattern, $string) ainda retornará true, já que a função ereg() ignora tudo após um caractere de byte null ao ler a string de entrada (esquerda para direita). Neste exemplo, isso significa que a marca <script> inserida após o byte null será exibida para o usuário e avaliada.

Certas funções comportam-se de maneiras perigosas, independentemente de como são usadas. A função xp_cmdshell inicializa uma shell de comando do Windows para executar a cadeia de comando fornecida. O comando é executado no sistema padrão ou em um contexto de proxy fornecido. No entanto, não há qualquer maneira de limitar um usuário a um conjunto pré-especificado de operações privilegiadas e qualquer concessão de privilégios permite o usuário a executar qualquer cadeia de comando.

A anotação FortifyDangerous foi aplicada a esse método. Ela é usada para indicar que o método é perigoso, e todos os seus usos devem ser examinados quanto à segurança.

A anotação FortifyDangerous foi aplicada a esse tipo. Ela é usada para indicar que o método é perigoso, e todos os seus usos devem ser examinados quanto à segurança.

A chamada de sistema chroot() permite que um processo altere sua percepção do diretório raiz do sistema de arquivos. Depois de invocar chroot() corretamente, um processo não pode acessar arquivos fora da árvore de diretórios definida pelo novo diretório raiz. Esse ambiente recebe o nome de prisão chroot e é comumente utilizado para impedir que um processo possa ser corrompido e usado para acessar arquivos não autorizados. Por exemplo, muitos servidores FTP são executados em prisões chroot para impedir que um invasor que descobrir uma nova vulnerabilidade em um servidor seja capaz de baixar o arquivo de senha ou outros arquivos confidenciais do sistema.

O uso indevido de chroot() pode permitir que os invasores escapem da prisão chroot. A chamada de função chroot() não altera o diretório de trabalho atual do processo e, portanto, caminhos relativos ainda podem fazer referência a recursos do sistema de arquivos fora da prisão chroot depois que chroot() é chamada.

Exemplo 1: Considere o seguinte código-fonte de um servidor FTP (hipotético):

chroot("/var/ftproot");
...
fgets(filename, sizeof(filename), network);
localfile = fopen(filename, "r");
while ((len = fread(buf, 1, sizeof(buf), localfile)) != EOF) {
  fwrite(buf, 1, sizeof(buf), network);
}
fclose(localfile);

Esse código é responsável pela leitura de um nome de arquivo na rede, pela abertura do arquivo correspondente na máquina local e pelo envio do conteúdo na rede. Esse código pode ser usado para implementar o comando FTP GET. O servidor FTP chama chroot() em suas rotinas de inicialização, na tentativa de impedir o acesso a arquivos fora de /var/ftproot. Porém, como o servidor não consegue alterar o diretório de trabalho atual chamando chdir("/"), um invasor poderia solicitar o arquivo "../../../../../etc/passwd"e obter uma cópia do arquivo de senha do sistema.