perl-security

Topics in the source

• Perlセキュリティパターン
• アクティベートするタイミング
• 仕組み
• テイントモード
• テイントモードの有効化
• アンテイントパターン
• 入力バリデーション
• ブロックリストよりアローリスト

入力バリデーション、インジェクション防止、セキュアコーディングプラクティスを網羅するPerlアプリケーションの包括的なセキュリティガイドライン。 Perlアプリケーションでユーザー入力を処理するとき PerlのWebアプリケーション（CGI、Mojolicious、Dancer2、Catalyst）を構築するとき セキュリティ脆弱性についてPerlコードをレビューするとき ユーザー指定パスでファイル操作を実行するとき PerlからシステムコマンドをExecuteするとき DBIデータベースクエリを書くとき テイント対応の入力境界から始め、次に外側に移動する: 入力をバリデートしてアンテイントし、ファイルシステムとプロセス実行を制約内に保ち、どこでもパラメータ化されたDBIクエリを使用する。以下の例は、ユーザー入力、シェル、またはネットワークに触れるPerlコードをリリースする前に適用することが期待されるデフォルトを示す。 Perlのテイントモード（-T）は外部ソースからのデータを追跡し、明示的なバリデーションなしに安全でない操作で使用されることを防ぐ。 壊滅的なバックトラッキングは重複するパターンにネストされた量詞が使用されるときに発生する。 一時ファイルにはFile::Temp（tempfile(UNLINK => 1)）を使用し、レースコンディションを防ぐためにflock(LOCKEX)を使用する。 外部コマンドからstdout/stderrを安全にキャプチャするためにはCapture::Tinyも使用する。 トークンを検証するときは定数時間比較を使用する。ほとんどのWebフレームワーク（Mojolicious、Dancer2、Catalyst）には組み込みのCSRF保護がある — 手作りのソリューションよりそれらを優先する。 常に出力をそのコンテキスト用にエンコードする: HTML用にはHTML::Entities::encodeentities()、URL用にはURI::Escape::uriescapeutf8()、JSON用にはJSON::MaybeXS::encodejson()。 cpanfileでバージョンをピン留め: requires 'DBI', '== 1.643'; メンテナンスされたモジュールを優先: MetaCPANで最近のリリースを確認 依存関係を最小化: 各依存関係は攻撃面積 | チェック | 確認事項 | |---|---| | テイントモード | CGI/Webスクリプトの-Tフラグ | | 入力バリデーション | アローリストパターン、長さ制限 | | ファイル操作 | 3引数open、パストラバーサルチェック | | プロセス実行 | リスト形式のsystem、シェル補間なし | | SQLクエリ | DBIプレース

This is an excerpt. Refer to the complete source and its current requirements.