perl - 内部网站是否需要“污点”模式？

Question

我进来支持的中型内部网站大约有 1/2 的 *.cgi 文件没有“污点”模式。内部网站是否需要“污点”模式？

Answer 1

你信任内部用户吗？如果不是，那么是的。

Answer 2

假设您确实信任您的内部用户并且目前不需要污点。您可以考虑在任何现有脚本中保持 taint ON，如果只是为了训练自己如何使用 taint。它并不像一开始的感觉那么糟糕，有点像在煤上行走。好起来。

我可以说，我有多个“内部”网站突然（要求发生变化）变成面向客户、暴露在互联网上并需要更好的安全性。

要记住的另一件事是，内部用户有时是最不满意的，最有可能想要伤害您的组织是一些小事。