I kitea e raatau nga whakaraeraetanga i roto i nga whare pukapuka whatunga o Rust me Go te aukati i te whakatuturutanga IP

I tata nei i tukuna nga korero mo te whakaraerae i kitea i nga wharepukapuka o nga reo Rust ka Haere, e e pa ana ki te hē o te wāhitau IP me nga nama octal kei roto i nga mahi wetewete nohoanga.

E whakahuatia ana eMa enei whakaraerae e ahei ai koe ki te karo i nga manatoko o nga wahitau whaitake me ten nga tono, hei tauira, ki te whakarite whakauru ki nga wahitau atanga loopback, ki nga raina ipurangiroto ranei ka whakaekehia nga kaiwhaiwhai.

Nga whakaraeraetanga i roto i enei reo e rua Ko nga aho IP IP he maarama ki te whakaaturanga kore-mai, mai i a koe i roto i te kaupapa ariaki me whakamaarama ratau ko nga nama octal, engari ko te raru ka raru nei ko te maha o nga wharepukapuka kaore e aro ki tenei ka peehi noa i te kore, na ka mutu ka tirohia te uara hei tau a tekau.

Hei tauira, kia maarama koe ki te whakamaoritanga o nga korero IP i roto i enei pepeke, ko te nama 0177 i te hokowhitu he 127 ki te hautanga tekau, a ka taea e te kaiwhakauru te tono rauemi e whakaatu ana i te uara "0177.0.0.1", na te mea kaore i tangohia hei octal, ko te tohu hautau mo tenei ko "127.0.0.1".

Koina te take i te keehi whakamahi i tetahi o nga wharepukapuka raru, kaore te tono e kitea te takanga o te wahitau 0177.0.0.1 i roto i te rainaiti 127.0.0.1, engari ko te mea ke, ka tuku tono ana, ka taea e koe te karanga i te wahitau "0177.0.0.1" na te mea he pohehe whakamaori, ka tukuna e nga mahi a te whatunga tenei hei 127.0.0.1. Waihoki, ko te urunga ki nga wahitau ipurangirau ka taea te tinihanga me te whakamana ma te tohu i nga momo uara, ka arotakehia e te kaitukino kia taea ai te whakamahi.

Tuhinga o mua Rust, i kitea te raru ki raro i te wharepukapuka paerewa "std :: net" ana kua oti te whakararangi i raro o "CVE-2021-29922". E whakaatu ana i tera te parser o nga wahitau IP o tenei wharepukapuka ka whiua he kore i mua o nga uara o te wahitau, engari mena ka kore e nui ake i te toru nga mati i whakahuatia, hei tauira, "0177.0.0.1" ka whakamaorihia hei uara he kore ka hoki mai he hua he ki te whakautu.

Ko te whakaahei whakauru o te aho octal hee ki te wharepukapuka paerewa "net" e taea ai e nga kaiwhawhai mamao tuuturu te whakaeke i nga whakaeke SSRF, RFI, me LFI ki nga kaupapa maha e whakawhirinaki ana ki te waikura-lang std :: net. Ko nga oketeti o te wahitau IP ka waahihia te waahanga kaore i te aromatawaihia hei wahitau IP tika.

Kei te whakahuahia ano ko nga tono e whakamahi ana i te std :: net :: IpAddr whare pukapuka i te wa e weto ana i nga wahitau e te kaiwhakamahi ka taea pea e nga whakaeke SSRF (tono-taha tono a te kaiwhakarato), RFI (whakauru mamao i te konae) me Bia (whakaurunga o nga konae a rohe). Waihoki, ka taea e te kaiwhaiwhai te whakauru ki te 127.0.026.1, he 127.0.22 rawa atu

Hei tauira, ko te kaiwhakaeke e tuku ana i tana wahitau IP ki tetahi tono paetukutuku e hangai ana ki te std :: net :: IpAddr ka ahei te SSRF ma te whakauru i nga tuhinga whakauru whakauru; Ka taea e te kaiwhawhai te tuku i nga wahitau IP whaihua mena he toru nga mati o te octet, me te iti rawa o te octet e whakamahia ana 3 e arai ana ki te whakakorenga o te ratonga me te 08 nui rawa te whakamahi octet e arai ana ki te whakakorenga o te ratonga. 

Mena kei te hiahia mohio koe mo tenei whakaraeraetanga i Rust, ka taea e koe te tirotiro i nga korero taipitopito I roto i te hono e whai ake nei. Kei te whakahuahia hoki ko te whakaraerae i whakatauhia ki te peka Rust 1.53.0.

Ka rite tonu ki te raru e pa ana Ki te Haere, kua whakahuatia he kaupapa tenei ki te whare pukapuka paerewa «kupenga» a kua rarangi kee i raro o te CVE-2021-29923. I roto i te whakaahuatanga e whakahuatia ana whakaahei ana i nga kaiwhawhai mamao tuuturu ki te whakaeke i nga whakaeke SSRF, RFI me LFI whakaarohia i roto i te maha o nga hotaka e whakawhirinaki ana ki te kupenga a-golang. Mahi ParseCIDR. Ko nga oketeti CIDR IP takitahi ka tangohia, kaua ki te aromatawaihia hei tohu IP tika.

Hei tauira, ka paahitia pea e te kaiwhakaeke te uara 00000177.0.0.1, ka tirohia ana i te kupenga.ParseCIDR mahi, ka kiia hei 177.0.0.1/24, kaua ko 127.0.0.1/24. Ko te raru ka puta ano i runga i te papa Kubernetes. I whakatauhia te whakaraerae ki te Putanga putanga 1.16.3 me te putanga beta 1.17.

Ka taea e koe te ako atu mo tenei mo tenei whakaraeraetanga I roto i te hono e whai ake nei.


Ko nga korero o te tuhinga e piri ana ki o maatau kaupapa o matatika whakatika. Ki te ripoata i tetahi paatene paato Here.

Hei tuatahi ki te korero

Waiho to korero

Ka kore e whakaputaina tō wāhitau īmēra. Kua tohua ngā āpure e hiahiatia ana ki *

*

*

  1. He kawenga mo nga raraunga: Miguel Ángel Gatón
  2. Te kaupapa o te raraunga: Whakahaerehia te SPAM, te whakahaere korero.
  3. Ture: To whakaae
  4. Whakawhitinga korero: Kaore nga korero e tukuna ki nga taha tuatoru engari ma te ture herenga.
  5. Rokiroki raraunga: Paetukutuku e whakahaerehia ana e Occentus Networks (EU)
  6. Tika: I nga wa katoa ka taea e koe te whakaiti, te whakaora me te muku i o korero.