Задача Задача №3756980
А
А
Рассмотри изображение вместе с последним сообщением и историей диалога. Сначала определи, это продолжение текущей учебной цели или самостоятельное новое задание.
Пока не могу определить это: в диалоге нет ни изображения, ни предыдущих сообщений — есть только твой текст с просьбой проанализировать картинку и историю.
Пришли, пожалуйста, само изображение (или текст задания) и напиши, что на нём нужно сделать — тогда я скажу, это продолжение одной учебной темы или новое задание, и разберу решение в режиме «Понять».
Обсуждение
3 сообщения А
Реши
Ответы:
- Строка 10.
- Injection.
Почему:
- В строке 9 значение параметра
hostберётся прямо из запроса пользователя:request.args.get("host", ""). - В строке 10 это значение без проверки подставляется в команду:
os.popen("ping -c 1 " + host)os.popenзапускает команду через командную оболочку. Если передать, например,host=127.0.0.1; whoami, оболочка выполнит иping, иwhoami. Это командная инъекция. - По классификации OWASP Top 10 такая уязвимость относится к категории Injection (A03:2021) — туда входят SQL-, OS- и другие инъекции.
Как исправить: не собирать команду строкой, а передавать аргументы списком и без shell, например через subprocess.run(["ping", "-c", "1", host], shell=False), плюс проверять допустимый формат host.
А
Реши
