रेल्स और जीसी

हमारे यहां फिर से रेल समुदाय में एक नाटक है। प्रारंभिक रिपोर्ट Find_by_ * जैसी विधियाँ हैं जो find_by_title में मॉडल पर अनुमानित हैं, उदाहरण के लिए, find_by_id।
उन्हें इस तरह इस्तेमाल किया जा सकता है
find_by_id (params [: id], चुनें: "CUSTOM SQL")
लेकिन आमतौर पर वे इस तरह से उपयोग किए जाते हैं
find_by_id (params [: id])
और SQL इंजेक्शन तब होता है जब params [: id] में {: select => "CUSTOM SQL"} शामिल होता है - विकल्प पहले तर्क में हो सकते हैं।

नोट -: चयन एक वर्ण है और "चयन" (स्ट्रिंग) नहीं है। इसका मतलब है कि ट्रिक? Id [select] = SQL विफल हो जाएगी। कुंजी एक स्ट्रिंग होगी। सामान्य तौर पर, Params HashWithIndifferentAccess प्रकार का हैश है। उन लोगों के बाद से चाबी में अक्षर नहीं हो सकते वे सभी सृष्टि में नष्ट हो गए हैं।

इस तरह के एक ओटोलॉजिकल मणि है, सामान्य तौर पर यह find_by_token (टोकन) का उपयोग करता है जहां टोकन सत्र से वस्तु है (जिसे कुकीज़ में संग्रहीत किया जाता है और session_secret द्वारा हस्ताक्षरित किया जाता है)। लिखने के लिए: इसका चयन करें => "एसक्यूएल", आपको सेशन_सर्किट जानना होगा, इसलिए भेद्यता अत्यंत दुर्लभ है।
यह सब SQL इंजेक्शन CVE एक लानत के लायक नहीं है! और किस पद के लिए? DoS!

मैंने अभी आगे खुदाई शुरू की, क्योंकि मैं लंबे समय से वैकल्पिक आदानों का उपयोग कर रहा हूं। डिफ़ॉल्ट रूप से रेलें तीन प्रकार के अनुरोध लेती हैं। कोई व्यक्ति: XML, JSON, x-www-form-urlencoded है। अनुप्रयोगों के विशाल बहुमत बाद का उपयोग करते हैं, प्रपत्र कुंजी की एक पंक्ति = val & key2 = val2 लेकिन यदि क्लाइंट आवश्यक सामग्री-प्रकार भेजता है, तो एक अन्य पार्सर स्वचालित रूप से उपयोग किया जाएगा - XML ​​/ JSON और यहां तक ​​कि YAML लेकिन यह डिफ़ॉल्ट रूप से बंद है।
और एक्सएमएल लचीला है। उदाहरण - यदि आप भेजते हैं

<id type="symbol">all</id> 

तब खोज (params [: id]) कोड ठीक उसी तरह निष्पादित होगा (जैसे: सभी)
या

 <id type="yaml">---....</id> 

उपयोगकर्ता इनपुट पात्रों में बदल जाता है - वर्ण जीसी द्वारा हटाया नहीं जाता है। ब्राउज़र कंसोल से ऐसी स्क्रिप्ट के साथ आप एप्लिकेशन रेल को "ऑफेंड" कर सकते हैं (स्क्रिप्ट को हटा दिया गया था ताकि स्क्रिप्टडिस्क का उपयोग न हो)। एक स्थानीयहोस्ट पर प्रयास करें और रूबी प्रक्रिया मेमोरी की निगरानी करें।

अनुप्रयोग के लिए पैच। आरआरबी जो वैकल्पिक पार्सर्स को बंद कर देगा
ActionDispatch :: ParamsParser :: DEFAULT_PARSERS = {}

PS लेकिन यह सब नहीं है (JSON / XML पेलोड के माध्यम से [1, nil] के साथ पुराने CVE का पुनरुद्धार है)