HTML, chmod, คอนเทนเนอร์และ cron

โปรแกรมแก้ไข HTML: รายการที่อนุญาต ไม่ใช่ตัวกรอง

โปรแกรมแก้ไขสร้าง HTML และ HTML ที่มาจากกล่องข้อความเป็นเวกเตอร์การฉีดที่เก่าแก่ที่สุดที่มีอยู่ คำถามสองข้อที่แตกต่างกันสับสนที่นี่ ดังนั้นจึงควรแยกคำถามเหล่านั้นออก ประการแรกคือ "ตัวแก้ไขนี้สามารถถูกหลอกให้ปล่อยมาร์กอัปที่เรียกใช้โค้ดในหน้าเว็บที่แสดงได้หรือไม่" อย่างที่สองคือ "นี่เป็นวิธีที่ปลอดภัยในการทำความสะอาด HTML ที่ไม่เป็นมิตรจากแหล่งที่ไม่น่าเชื่อถือหรือไม่" เครื่องมือนี้ตอบว่าใช่สำหรับข้อแรกและไม่ใช่ในข้อที่สอง และจะระบุเช่นนั้นบนแผงควบคุม แทนที่จะปล่อยให้คุณคิดอย่างอื่น

กลไกนี้เป็นรายการที่อนุญาต อนุญาตให้ใช้รายการองค์ประกอบ องค์ประกอบอื่นๆ ทั้งหมดจะถูกแกะออก ดังนั้นข้อความจึงยังคงอยู่แต่แท็กไม่อยู่ อนุญาตให้ใช้รายการแอตทริบิวต์ต่อองค์ประกอบ ทุกสิ่งทุกอย่างถูกทิ้งไป ซึ่งเป็นสิ่งที่ทำให้ตัวจัดการเหตุการณ์ทุกตัวเป็นไปไม่ได้ แทนที่จะถูกบล็อกเพียงอย่างเดียว ชื่อแอตทริบิวต์จะถูกใช้ตัวพิมพ์เล็กก่อนการทดสอบ ดังนั้น oNeRrOr และ ONERROR จึงเป็นชื่อที่ถูกปฏิเสธเช่นเดียวกับ onerror องค์ประกอบที่มีเนื้อหาที่ parser HTML ถือเป็นข้อความดิบ เช่น สคริปต์ สไตล์ พื้นที่ข้อความ iframe ชื่อ จะถูกลบออกพร้อมกับเนื้อหา เนื่องจากการแกะองค์ประกอบเหล่านั้นจะวางแหล่งที่มาของสคริปต์ลงในเอกสารเป็นมาร์กอัป

ที่อยู่ลิงก์จะได้รับเช็คของตนเอง ค่าจะถูกถอดรหัสเอนทิตีและตัดช่องว่างและอักขระควบคุมก่อนที่จะอ่านโครงร่าง เนื่องจากนั่นคือสิ่งที่เบราว์เซอร์ทำเมื่อนำทาง: javascript:alert(1) และ jav ascript:alert(1) ทั้งคู่มาถึงที่เดียวกัน มีเพียง http, https, mailto, tel, ftp และที่อยู่ที่เกี่ยวข้องเท่านั้นที่ยังคงอยู่ การอ้างอิงอักขระที่เครื่องมือไม่สามารถแก้ไขได้ — : เป็นแบบคลาสสิก — ทำให้ที่อยู่ทั้งหมดถูกปฏิเสธแทนที่จะส่งผ่าน เนื่องจากตัวกรองที่เข้าใจอินพุตน้อยกว่าที่เบราว์เซอร์เข้าใจคือตัวกรองที่มีรูในนั้น

ไม่มีปุ่มรูปภาพ และ img ไม่อยู่ในรายการที่อนุญาต แท็กรูปภาพที่อนุญาตคือคำขอขาออกจากทุกที่ที่เอกสารสิ้นสุดลง และแสดงข้อผิดพลาด สำหรับบรรณาธิการที่ผลิตร้อยแก้ว ก็ไม่คุ้มเช่นกัน

การป้องกันที่ไม่ได้ขึ้นอยู่กับความสมบูรณ์แบบใด ๆ นี้คือการแสดงตัวอย่าง โดยจะเรนเดอร์ใน iframe ด้วยแอตทริบิวต์แซนด์บ็อกซ์ที่ไม่ให้อะไรเลย — ไม่มีสคริปต์ ไม่มีแบบฟอร์ม ไม่มีการเข้าถึงจากแหล่งเดียวกัน หากเพย์โหลดรอดพ้นจากรายการที่อนุญาต เบราว์เซอร์จะยังคงปฏิเสธที่จะดำเนินการที่นั่น นั่นคือการรับประกันโครงสร้างมากกว่าคำมั่นสัญญาเกี่ยวกับรหัสของเรา

ข้อจำกัดที่แท้จริง: นี่คือตัวฆ่าเชื้อแบบสตริง ไม่ใช่ตัวแยกวิเคราะห์ HTML5 แบบเต็ม Parser differentials — อินพุตที่เบราว์เซอร์สร้างแผนผังที่แตกต่างจาก tokeniser นี้ — เป็นจุดอ่อนที่ทราบกันดีของ sanitiser ทุกคนที่สร้างด้วยวิธีนี้ สำหรับผลลัพธ์ที่คุณสร้างเองในโปรแกรมแก้ไขนี้ก็ถือว่าใช้ได้ สำหรับการทำความสะอาด HTML ที่มาจากคนแปลกหน้า ให้ใช้น้ำยาฆ่าเชื้อที่ทำงานกับโปรแกรมแยกวิเคราะห์จริงบนเซิร์ฟเวอร์ที่คุณควบคุม

Chmod: ตัวพิมพ์ใหญ่คือข้อความทั้งหมด

โหมดไฟล์ Unix คือ 12 บิต โดยแบ่งเป็น 3 บิตการอนุญาตสำหรับแต่ละเจ้าของ กลุ่ม และอื่นๆ รวมถึง setuid, setgid และ Sticky bit รูปแบบฐานแปดคือการอ่านบิตเหล่านั้นโดยตรง ซึ่งเป็นเหตุผลว่าทำไม 4 + 2 + 1 = 7 หมายถึง อ่าน เขียน และดำเนินการ

รูปแบบสัญลักษณ์ที่ ls พิมพ์คือจุดที่บิตพิเศษกลายเป็นสิ่งที่น่าสนใจ เนื่องจากไม่มีคอลัมน์ของตัวเอง setuid แทนที่อักขระดำเนินการของเจ้าของ setgid แทนที่อักขระเรียกใช้งานกลุ่ม และ Sticky แทนที่อักขระเรียกใช้งานอื่น ๆ ตัวอักษรจะเป็นตัวพิมพ์เล็กเมื่อมีการตั้งค่าบิตดำเนินการที่สำคัญและจะเป็นตัวพิมพ์ UPPER เมื่อไม่ได้ตั้งค่า

ดังนั้น 4755 คือ rwsr-xr-x ซึ่งเป็นโปรแกรม setuid ที่สามารถดำเนินการได้ ในขณะที่ 4644 คือ rwSr--r-- ซึ่งเป็นไฟล์ setuid ที่ไม่มีใครสามารถเรียกใช้ได้ S ตัวพิมพ์ใหญ่คือระบบที่บอกคุณว่าบิตนั้นเฉื่อย และเกือบจะเป็นความผิดพลาดมากกว่าการตัดสินใจ เช่นเดียวกับ 1644 ซึ่งแสดง rw-r--r-T: บิตติดหนึบบนไฟล์ปกติโดยที่บิตดำเนินการอื่น ๆ นั้นชัดเจน ซึ่งบนเคอร์เนลสมัยใหม่ไม่ได้ทำอะไรเลยอย่างแน่นอน

ความแตกต่างอีกสองประการที่ควรค่าแก่การรักษาให้ตรง ls สตริงเก้าอักขระที่พิมพ์ไม่ใช่อาร์กิวเมนต์ที่ chmod รับ: chmod ต้องการรายการการมอบหมาย เช่น u=rwx,g=rx,o=rx,u+s และบิตเดียวกันหมายถึงสิ่งต่าง ๆ ในไดเร็กทอรีมากกว่าในไฟล์ - เรียกใช้งานหมายถึง "อาจเข้าและสำรวจ" setgid หมายถึง "ไฟล์ใหม่สืบทอดกลุ่มนี้" และบิตติดหนึบหมายถึง "ใครก็ตามสามารถสร้างได้ มีเพียงเจ้าของเท่านั้นที่สามารถลบได้" ซึ่งเป็นเหตุผลที่ /tmp คือ 1777

นักเทียบท่าทำงานเพื่อเขียน: การแยกวิเคราะห์และสิ่งที่ไม่แปลง

ตัวแปลงจะแยกคำสั่งด้วยโทเค็นการรับรู้คำพูดที่เขียนขึ้นสำหรับเครื่องมือนี้ ไม่มีสิ่งใดถูกดำเนินการ ประเมิน หรือส่งมอบให้กับเชลล์ คำสั่งที่มี backticks, $(...) หรืออัฒภาคจะถูกอ่านเป็นอักขระตามตัวอักษร เนื่องจากสิ่งเดียวที่เครื่องมือนี้ทำกับอินพุตของคุณคืออ่านมัน

ธงส่วนใหญ่แมปอย่างหมดจด: พอร์ต, วอลุ่ม, สภาพแวดล้อม, ป้ายกำกับ, นโยบายการรีสตาร์ท, ความสามารถ, การตรวจสอบสภาพ, ขีดจำกัดของทรัพยากร, DNS และโฮสต์เพิ่มเติมล้วนมีคีย์การเขียนที่มีความหมายเหมือนกัน วอลุ่มที่มีชื่อและเครือข่ายที่ผู้ใช้กำหนดจำเป็นต้องมีการประกาศระดับบนสุดตลอดจนการอ้างอิงบริการ ดังนั้นเอาต์พุตจึงมีหนึ่งรายการ โดยมี external: true บนเครือข่าย เนื่องจากการเรียกใช้นักเทียบท่าเครือข่ายสามารถเข้าร่วมได้นั้นเป็นอันที่มีอยู่แล้ว

แฟล็กบางตัวไม่มีการเขียนที่เทียบเท่ากัน และนี่คือจุดที่ตัวแปลงมักจะล้มเหลวอย่างเงียบๆ --rm ไม่ใช่คุณสมบัติของบริการ: บริการเขียนจะไม่ถูกลบออกเมื่อออก -d อธิบายวิธีที่คุณเรียกใช้ CLI ไม่ใช่บริการคืออะไร --link เป็นรุ่นดั้งเดิม --mount ต้องการรูปแบบยาวที่เครื่องมือนี้ไม่ได้เขียน --gpus ขึ้นอยู่กับไดรเวอร์ของคุณ แต่ละสิ่งเหล่านี้จะสร้างคำเตือนที่มีชื่อแทนที่จะหายไป ธงที่ไม่รู้จักยังสร้างคำเตือนด้วย และจะถือว่าไม่มีค่า เนื่องจากการคาดเดาว่าต้องใช้ธงนั้นจะทำให้ชื่อรูปภาพของคุณกลายเป็นข้อโต้แย้งและสร้างไฟล์ที่ผิดอย่างมั่นใจ

เอาต์พุตไม่มีเวอร์ชันระดับบนสุด: คีย์ Compose v2 จะเพิกเฉยต่อมันและเวอร์ชันปัจจุบันจะเตือนเกี่ยวกับมัน มันล้าสมัยไปแล้วเนื่องจากข้อกำหนดการเขียนแทนที่เวอร์ชันรูปแบบไฟล์เก่า

การอ้างอิงไม่ใช่เครื่องสำอาง การแมปพอร์ตที่เขียนเป็น 8080:80 โดยไม่มีเครื่องหมายคำพูดจะถูกอ่านเป็นตัวเลขโดย YAML 1.1 parsers และใช่ ไม่ เปิดและปิดเป็นบูลีนในภาษาถิ่นเดียวกัน สิ่งใดก็ตามที่อาจอ่านผิดจะถูกยกมา; สิ่งใดก็ตามที่อ่านได้อย่างหมดจดในรูปแบบสตริงจะถูกปล่อยทิ้งไว้ตามลำพัง ดังนั้นไฟล์จึงสามารถอ่านได้

Cron: กฎสองข้อที่จะจับทุกคน

ประการแรกคือกฎวัน เมื่อทั้งวันของเดือนและวันในสัปดาห์ถูกตั้งค่าเป็นอย่างอื่นที่ไม่ใช่ * cron จะรันงานเมื่อ EITHER ตรงกัน — ไม่ใช่เมื่อทั้งสองทำ ดังนั้น 0 0 13 * 5 คือ "เที่ยงคืนของวันที่ 13 และเที่ยงคืนของทุกวันศุกร์" ซึ่งประมาณห้าครั้งต่อเดือน ไม่ใช่ "วันศุกร์ที่ 13" ซึ่งเป็นปีละครั้งหรือสองครั้ง ตัวสร้างจะเตือนเมื่อใดก็ตามที่ทั้งสองฟิลด์ถูกจำกัด และประโยคที่เขียนว่า "หรือ" แทนที่จะเป็น "และ"

ประการที่สองคือเขตเวลา Cron ใช้โซนของเครื่องที่มันทำงาน ซึ่งมักจะเป็น UTC บนเซิร์ฟเวอร์ และแทบจะไม่เคยใช้โซนของบุคคลที่เขียน crontab เลย การแสดงตัวอย่างครั้งต่อไปจะถามว่าจะใช้โซนใดแทนที่จะคิดว่าเป็นโซนของคุณ เวลาจะถูกคำนวณเป็นเวลาของนาฬิกาแขวนในโซนนั้น ดังนั้นงานรายวันจะยังคงอยู่ที่เวลาท้องถิ่นเดิมตลอดการเปลี่ยนแปลงเวลาออมแสง แทนที่จะเลื่อนไปทีละชั่วโมง และเวลาท้องถิ่นที่ไม่มีอยู่ในชั่วโมงที่ข้ามไปทุกๆ ฤดูใบไม้ผลิ จะถูกปล่อยออกจากรายการ เนื่องจาก cron จะไม่ทำงานเช่นกัน

ไวยากรณ์มีขนาดเล็ก: ดาว ตัวเลข ช่วง a-b รายการ a,b,c ขั้นตอน */n หรือ a-b/n, และชื่อเดือนและวัน JAN-DEC และ SUN-SAT ทั้ง 0 และ 7 หมายถึงวันอาทิตย์ ค่าเปล่าที่มีขั้นตอน เช่น 5/15 ในช่องนาที หมายถึง "ตั้งแต่ 5 จนถึงจุดสิ้นสุดของช่วง ทุกๆ 15" ซึ่งเป็นนาที 5, 20, 35 และ 50.

การตรวจสอบความถูกต้องมีความเข้มงวดตามวัตถุประสงค์ 60 * * * * ถูกปฏิเสธเนื่องจากนาทีหยุดที่ 59; * * * * 8 ถูกปฏิเสธเนื่องจากฟิลด์วันหยุดที่ 7; */0 * * * * ถูกปฏิเสธเนื่องจากขั้นตอนของศูนย์ไม่ตรงกับอะไรเลย โดยปกติแล้ว หกฟิลด์หมายถึงนิพจน์ Quartz หรือ systemd ซึ่งฟิลด์แรกเป็นวินาที ดังนั้นข้อผิดพลาดจึงแจ้งเช่นนั้นแทนที่จะนับเพียงเท่านั้น กำหนดการที่ถูกต้องตามหลักไวยากรณ์แต่ไม่สามารถเรียกใช้ได้ — 0 0 30 2 * ขอวันที่ 30 กุมภาพันธ์ — ได้รับการยอมรับและติดธงไว้ เนื่องจากการปฏิเสธจะถือเป็นความผิด และการนิ่งเงียบจะยิ่งแย่ลง

จะเกิดอะไรขึ้นกับสิ่งที่คุณวาง

• ทุกการแปลง แฮช ถอดรหัส และส่วนต่างจะทำงานในแท็บเบราว์เซอร์ของคุณ ไม่มีการอัปโหลด บันทึก หรือจัดเก็บอินพุตบนเซิร์ฟเวอร์ เนื่องจากไม่มีเซิร์ฟเวอร์ที่เกี่ยวข้องเมื่อโหลดเพจแล้ว
• แฮชมาจากการใช้งาน Web Crypto ของเบราว์เซอร์เอง และ UUID จากตัวสร้างแบบสุ่มที่ปลอดภัยด้วยการเข้ารหัส ไม่เกี่ยวข้องกับการโทรผ่านเครือข่าย
• ไม่มีสิ่งใดที่คุณพิมพ์ถูกเขียนลงในที่จัดเก็บในตัวเครื่องหรือคุกกี้ การโหลดหน้าซ้ำจะทิ้งหน้านั้นไป การปิดแท็บจะทิ้งมันไป
• การวิเคราะห์ทั่วทั้งไซต์ทำงานบนโฮสต์การผลิตตามรูปแบบบัญญัติที่กำหนดค่าไว้เท่านั้น และได้รับการเปิดเผยในนโยบายความเป็นส่วนตัว โฮสต์ในท้องถิ่นและโฮสต์ตัวอย่างปฏิเสธ ค่าที่วาง โทเค็น URL และเนื้อหาไฟล์จะไม่รวมอยู่ในเหตุการณ์การวิเคราะห์ของ ToolAcre เอง การโฆษณาถูกปิดใช้งานในการกำหนดค่าปัจจุบัน
• ที่กล่าวว่า: คีย์ JWT หรือ API เป็นข้อมูลประจำตัวที่ใช้งานอยู่ นิสัยที่ปลอดภัยคืออย่าวางสิ่งใดสิ่งหนึ่งลงในหน้าเว็บที่คุณไม่ได้เขียน ไม่ว่าคำกล่าวอ้างนั้นจะน่าเชื่อถือเพียงใด รวมถึงหน้านี้ด้วย

คำถาม

ข้อจำกัด

• โปรแกรมฆ่าเชื้อ HTML เป็นรายการที่อนุญาตสำหรับเอาต์พุตของตัวแก้ไขนี้ โดยนำไปใช้เป็นโทเค็นสตริง แทนที่จะเป็นตัวแยกวิเคราะห์ HTML5 แบบเต็ม ไม่ใช่ตัวกรอง XSS สำหรับวัตถุประสงค์ทั่วไป และต้องไม่ใช้เป็นตัวกรอง
• ตัวแก้ไขไม่มีตัวควบคุมรูปภาพ ตาราง สี หรือแบบอักษร และไม่สามารถเพิ่มได้ ทุกอย่างที่อยู่นอกรายการที่อนุญาตจะถูกลบออก
• พื้นผิวการแก้ไขใช้ document.execCommand ซึ่งเลิกใช้แล้วและไม่มีการแทนที่ เบราว์เซอร์ยังคงรองรับ พฤติกรรมระหว่างกันจะแตกต่างกันเล็กน้อย โดยเฉพาะอย่างยิ่งเกี่ยวกับการซ้อนรายการ
• เครื่องคำนวณ chmod ครอบคลุมบิตการอนุญาตสิบสองบิตเท่านั้น รายการควบคุมการเข้าถึง คุณลักษณะเพิ่มเติม บริบท SELinux เลขคณิต umask และ ACL ของ Windows ล้วนอยู่นอกขอบเขต
• ตัวแปลงนักเทียบท่าแปลคำสั่งเรียกใช้นักเทียบท่าเดี่ยวเป็นบริการเดียว ไม่อ่าน Dockerfiles ไม่สามารถแก้ไขรูปภาพ และไม่สามารถแสดง --mount, --gpus, --device, --link หรือ --volumes-from; แต่ละรายการจะสร้างคำเตือนที่มีชื่อแทน
• แฟล็กที่ตัวแปลงไม่รู้จักจะถือว่าไม่มีค่า หากมีการใช้แฟล็กดังกล่าว ค่าจะถูกอ่านผิด - คำเตือนระบุไว้ และการลบแฟล็กคือการแก้ปัญหา
• ตัวสร้าง cron อ่านรูปแบบ crontab ห้าฟิลด์เท่านั้น นิพจน์ Quartz และ systemd หกฟิลด์ @reboot และ L, W, # และ ? ผู้ปฏิบัติงานถูกปฏิเสธแทนที่จะเดา
• เวลาที่เรียกใช้ครั้งถัดไปมาจากฐานข้อมูลเขตเวลาของเบราว์เซอร์ผ่านทางสนามบินนานาชาติ เป็นเพียงการแสดงตัวอย่าง ไม่ใช่การรับประกัน: เครื่องที่ใช้งาน cron อาจมีโซนที่แตกต่างกัน เวอร์ชันฐานข้อมูลอื่น หรือ daemon ที่ไม่ได้ทำงานเมื่อถึงเวลา