Tag Archives: escape

cron 裡面的百分比符號 % 有特殊意義...

在試了一陣子後才發現的問題,crontab 裡的百分比符號 % 是特殊字元:「escaping double quotes and percent signs (%) in cron」。 取自 Debian 上的 crontab(5): Percent-signs (%) in the command, unless escaped with backslash (\), will be changed into newline characters, and all data after the first % will … Continue reading

Posted in Computer, Murmuring, Software | Tagged , , , | Leave a comment

Filter Input & Escape Output...

維基百科上有一篇「Secure input and output handling」說明要怎麼處理 input 與 output (對資安方面的說明)。標題的 Filter Input 與 Escape Output 是 Gasol 之前提到後才知道的名詞,以前只知道要 validate & escape,沒想過一個比較好記的念法... 這邊都以 PHP 為主,其他程式語言也應該會有對應的方式... Input 有很多管道,有可能是使用者或是 3rd party 廠商透過 Form 傳進來的資料 (在 PHP 裡可能是 $_GET 或是 $_POST),也有可能是 cookie 的資料 (因為使用者可以修改,所以視為不安全的資料)。從檔案讀資料進來 (可能是普通的文字檔,或是 … Continue reading

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , | 3 Comments

PHP 5.4 的 json_encode 增加 JSON_UNESCAPED_SLASHES...

剛剛翻資料發現 json_encode 奇怪的老問題總算有解... 這樣的程式碼: <?php echo json_encode("http://www.google.com/"), "\n"; 會輸出這樣的結果: "http:\/\/www.google.com\/" 這是合法的 JSON 沒錯 (JSON 規格允許 string 裡面使用 \/),但看起來就很不爽啊,明明 / 就是可以合法輸出的字元... 然後剛剛看到 PHP 5.4.0 加上這些東西: JSON_PRETTY_PRINT, JSON_UNESCAPED_SLASHES, and JSON_UNESCAPED_UNICODE options were added. 測了 JSON_UNESCAPED_SLASHES,看起來舒服多了: <?php echo json_encode("http://www.google.com/", JSON_UNESCAPED_SLASHES), "\n"; 輸出結果是: "http://www.google.com/"

Posted in Computer, Murmuring, Programming | Tagged , , , , | Leave a comment

網路安全歡樂記...

在 Twitter 上看到 John Resig 提到一串 reddit 上超歡樂的安全性議題: This thread on /r/PHP is just too good/scary to be true: http://t.co/KwLK37kk0l — John Resig (@jeresig) August 28, 2013 討論串在「Creating a user from the web problem.」這邊。不僅是 escape 的問題,還有給予 web server 過大的權限... 貼圖也很好笑啊 … Continue reading

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , | Leave a comment