Latihan 1: Insecure Deserialization — Security

Latihan 1 dari materi Insecure Deserialization di Security — praktek dengan editor kode interaktif, test case otomatis, dan hint terpandu. Langsung jalan di browser.

Buat fungsi classifyDeserialization(code) yang membaca satu baris kode dan mengembalikan "unsafe" atau "safe". Ini pengecekan teks, bukan menjalankan kodenya.

Kembalikan "unsafe" kalau code mengandung salah satu pola yang membangun ulang object:

unserialize( (PHP)
pickle.loads( atau pickle.load( (Python)
yaml.load( (Python, tanpa SafeLoader)
ObjectInputStream atau readObject( (Java)
Marshal.load (Ruby)

Selain itu kembalikan "safe" (termasuk json.loads(, JSON.parse(, dan yaml.safe_load(, yang cuma membaca data).

Contoh: classifyDeserialization("$data = unserialize($_COOKIE['x']);") mengembalikan "unsafe"; classifyDeserialization("json.loads(request.body)") dan classifyDeserialization("yaml.safe_load(f)") mengembalikan "safe".

Hint

Kumpulkan pola berbahaya dalam sebuah array, lalu cek apakah code mengandung salah satunya.
Pakai array lalu .some((pola) => code.includes(pola)). Hati-hati: yaml.load berbahaya, tapi yaml.safe_load aman, jadi cek pola yaml.load( apa adanya.
const unsafe = ['unserialize(', 'pickle.loads', 'pickle.load(', 'yaml.load(', 'ObjectInputStream', 'readObject(', 'Marshal.load']; return unsafe.some((p) => code.includes(p)) ? 'unsafe' : 'safe';

</> { } .css => #id fn()

Versi baru

HyperSheets

bagian dari BelajarWeb.dev

Membuka gerbang…

Latihan 1: Insecure Deserialization — Security

Hint

Memperbarui Aplikasi