From: "堀川 久" <vzw00011@...>
Date: 2003-03-29T00:41:21+09:00
Subject: [ruby-list:37458] Re: Secure「ではない」script の書き方

こんにちは。

堀川 久 wrote
in <3e845c0d.7420%vzw00011@nifty.ne.jp>
>>後者については「汚染されたクラス・モジュールの変更は許される」
>>ので、必要なクラスを明示的に汚染するとか、evalの実行を汚染さ
>>れたモジュールでラップするなどで実現できるのではないかと。
>>
>>  p lambda{
>>    class Foo
>>      self.taint
>>      $SAFE=4
>>      def foo
>>        :foo
>>      end
>>    end
>>    foo=Foo.new
>>    foo.foo
>>  }.call'
>>
>>とか。
>
>ちょっと試してみます。

こういう感じにしてみました。

$script = <<EOF
class Foo
  def bar
    Array.new
  end
end
Foo.new.bar()
EOF
$script.taint

p lambda {
  module T
    self.taint
    $SAFE = 4
    eval($script)
  end
}.call

ありがとうございます。

-- 
HORIKAWA Hisashi (in Kanji: 堀川 久)
Netsphere Laboratories  http://www.nslabs.jp/