作者wstd (听说炖黄金很好吃喔)
看板Ruby
标题[闲聊] RoR 0day SQL Injection
时间Mon Jan 7 23:13:38 2013
前几天，有人在知名的网站爆料RoR有严重的漏洞
http://goo.gl/TWD7a
最後的确是个 SQL Injection 的漏洞
不过，中奖机率很低很低，有空还是记得要更新一下RoR版本就是了
简单来说 find_by_*() 这个 funciton 的第二个参数没有做正确检查
举例来说: User.find_by_id("aaa", :select => "0; drop table xxx;--")
不过，因为第二个参数一定要用 Symbol
所以通常不会直接用 User 输入的字串
不过，从那边文章可以看到，有些套件刚好有踩到这个地雷
如果没办法patch，至少也要把secret key改掉
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 111.235.196.3