ZipSlip

Hozzászólások

root@Csabi:/tmp/gfh/sdfgb/xbvasga/gbsdgbsd/sdfasbv/sdgv# untar tartest.tar
tar: A kezdő „../../../../../” eltávolítása a nevek elejéről
tar: ../../../../../tartest.prb2: Member name contains '..'
tar: A kezdő „subdir/../../../../../” eltávolítása a nevek elejéről
tar: subdir/../../../../../tartest.prb4: Member name contains '..'
tar: Kilépés hibaállapottal a korábbi hibák miatt
root@Csabi:/tmp/gfh/sdfgb/xbvasga/gbsdgbsd/sdfasbv/sdgv# tar --version
tar (GNU tar) 1.27.1
Copyright (C) 2013 Free Software Foundation, Inc.
Licenc: GPLv3+: A GNU GPL 3. vagy újabb változata
Ez egy szabad szoftver: terjesztheti és/vagy módosíthatja.
NINCS GARANCIA, a törvény által engedélyezett mértékig.

Írta: John Gilmore és Jay Fenlason.

Úgy néz ki a tar-ban már 2013-ban javítva volt a dolog. Mikori tar van az AIX-ban?

Ott nem GNU vackot használnak, hanem valami korrekt 198x-es proprieraty terméket.


$ lslpp -h bos.rte.archive
  Fileset         Level     Action       Status       Date         Time        
  ----------------------------------------------------------------------------
Path: /usr/lib/objrepos
  bos.rte.archive
                  7.2.1.0   COMMIT       COMPLETE     12/18/17     10:15:37    

Csak olyankor idegesít, hogy magyarul beszél, amikor a keresővel kéne megetetni, amit kiírt (pl. hibaüzenet), vagy amikor a keresőben talált dolgokat a magyar felületen kell megkeresni (pl. beállítások). De olyankor át is szoktam kapcsolni angolra. Amúgy általában nem foglalkozom vele, hogy milyen nyelven beszél, a defaulton hagyom.

Mindenesetre annak idején, amikor HTTP-reverse-proxyt tákoltam, azt vettem észre, hogy a derék haxorok olyanokkal is megpróbálkoznak hogy GET /.%2E/%2e%2E/%2e./etc/passwd Szóval a %-szekvenciák feloldását még a path-ellenőrzés előtt érdemes megtenni.