[C++] Regular expressions

[Slagroom]

Hallo,

Ik ben een best gevaarlijk programmatje aan het maken en ik wil er een soort van controle in zetten. Het programma geeft mensen rechten om directories te verwijderen wat je normaal alleen als root mocht. Maar nu wil ik niet dat ze een directorie lager iets kunnen verwijderen. Hoe kan ik dus controleren dat een string niet begint met .. of ./? Moet dit uberhaubt wel eens met regular expressions?

Ik heb nu dit:

C++:

if(!strncmp("..", argv[2], strlen("..")) || !strncmp("./", argv[2], strlen("./"))) {
    sprintf(commando, "/bin/rm -rf /home/httpd/vhosts/%s/httpdocs/%s", argv[2], argv[3]);
    return system(commando);
} else {
    return 0;
}

[whoami]

Je kan het doen met RegExen, maar als je enkel de eerste 2 karakters moet kontroleren, kan je het toch evengoed doen zoals je het nu doet.

[LuCarD]

Slagroom schreef op 23 January 2003 @ 11:40:
Hallo,

Ik ben een best gevaarlijk programmatje aan het maken en ik wil er een soort van controle in zetten. Het programma geeft mensen rechten om directories te verwijderen wat je normaal alleen als root mocht. Maar nu wil ik niet dat ze een directorie lager iets kunnen verwijderen. Hoe kan ik dus controleren dat een string niet begint met .. of ./? Moet dit uberhaubt wel eens met regular expressions?

Ik heb nu dit:

C++:

if(!strncmp("..", argv[2], strlen("..")) || !strncmp("./", argv[2], strlen("./"))) {
    sprintf(commando, "/bin/rm -rf /home/httpd/vhosts/%s/httpdocs/%s", argv[2], argv[3]);
    return system(commando);
} else {
    return 0;
}

Zoals je zelf al zegt is dit een heel gevaarlijk programma helemaal omdat het door meerdere mensen gaat gebruikt worden?

Kan je niet beter een systeem maken dat je eerst de absolute directory bepaald? En dan testen dat de locatie minimaal /home/httpd/vhosts/<IETS>/httpdocs is ?

Hoe je dat moet doen kan ik je helaas niet aan helpen... Maar er zijn vast mensen die dat wel weten.

[Slagroom]

Klopt, ik heb dit er ook inzitten maar dan verder bovin in het programma.

Is er trouwens een manier om te kijken wie het programma uitvoert? Het programma is gezet met een s bit en de owner is root. Dan komt er zeker altijd root uit...

[Slagroom]

Ik zag mijn fout:

C++:

if(strncmp("..", argv[1], strlen("..")) == 0 || strncmp("./", argv[1], strlen("./")) == 0){ 
    return 0; 
} else { 
    sprintf(commando, "/bin/rm -rf /home/httpd/vhosts/%s/httpdocs/%s", argv[2], argv[3]); 
    return system(commando); 
}

Hij moest dus andersom zijn

[ Voor 13% gewijzigd door Slagroom op 23-01-2003 12:33 . Reden: zo dus ]

[MSalters]

Als je nou std::string gebruikt, dan kun je gewoon zeggen

code:

bool legal_path( string const& path )
{
  return path.substr(0,2)!=".." && path.substr(0,2)!="./";
}

PS. Moet de tweede check niet "begint met /" zijn?

[Slagroom]

MSalters schreef op 23 January 2003 @ 16:56:
Als je nou std::string gebruikt, dan kun je gewoon zeggen

code:

bool legal_path( string const& path )
{
  return path.substr(0,2)!=".." && path.substr(0,2)!="./";
}

PS. Moet de tweede check niet "begint met /" zijn?

Zo kan het ook ja.

En nee, die tweede hoeft niet begint met / te zijn. Dan wordt er verwezen naar // en dat geeft een error

[Reptile209]

'k weet het niet zeker hoor, maar volgens mij kan je nu lachen als je als user invult:
"/bullpoep/../../.." ofzo. Dus niet alleen checken op /.. aan het begin, maar in de hele string!