Dotaz: octave a vykonavani prikazu

[Karel Trchalik]

Dobry den, na svem serveru jsem si v PHP udelal webovy frontend programu GNU Octvave - tedy formularovy input, kam se zada vzorec a ten je takto predan a vyhodnocen:

$output = `octave --eval "$command" --silent`;
echo $output;

Az nedavno jsem si vsiml, ze octave je pres paeametr eval spustit i linuxove prikazy (napr ls) - coz pripadnemu utocnikovi umoznuje spoustet prikazy pod danym uzivatelem, coz je celkem velke riziko.

Nevite prosim, zda jde toho chovani programu Octave nejakym zpusobem potlacit, pripadne jakym zpusobem doporucujete skript zabezpecit?

Odpovědi

[Omic]

Na webu existuji podobne projekty, napr:

http://www.online-utility.org/math/math_calculator.jsp

Osetrene to tam maji, ale jak netusim...

[Vladimír Čunát]

A co octave spouštět pod uživatelem, který nic jiného než spouštět octave nemůže? Případně se dá použít i chroot nebo nějaký sandbox... Možná i přímo v octave je nějaký switch pro zakázání příkazů.