32、打造健壮的 Ruby Web 应用安全体系

打造健壮的 Ruby Web 应用安全体系

1. 代码注入漏洞及防范

代码注入，也称为远程代码执行，是指攻击者提供可执行代码，由 Ruby 应用程序直接运行。例如，有一个用于定义方法的元编程方法，为了提高性能使用了 class_eval ：

class Bar
  def self.column_accessor(name)
    class_eval(<<-END, __FILE__, __LINE__+1)
      def #{name}
        columns.#{name}
      end
    END
  end
end

如果攻击者能够调用 Bar.column_accessor 方法并为 name 参数提供值，他们就可以在应用程序的上下文中运行任何 Ruby 代码。这比其他两种漏洞更严重，因为一旦攻击者获得这种访问权限，他们可以在数据库上执行任何 SQL 语句，并向用户返回任何 JavaScript 代码。

幸运的是，这些漏洞不太常见，而且通常更容易查找。可以在应用程序中搜索以下内容：
- eval
- instance_eval
- module_eval
- class_eval

这样可能会找到所有评估 Ruby 代码的地方。确保这些方法不会使用用户输入调用。除非确实需要额