search

51isoft / bnuoj

BNU Online Judge
GNU General Public License v3.0
94 stars 31 forks source link

关于一个潜在漏洞。。。 #5

Closed MaticsL closed 9 years ago

MaticsL commented 9 years ago

就是评测机以root身份编译程序时会导致程序的include可以读取任意文件并且返回在编译错误信息上。。。。我觉得碉堡了。。具体看着个： http://vfleaking.blog.163.com/blog/static/1748076342014930104514968/ 参考runid：446085

51isoft commented 9 years ago

其实吧，这个问题不大，其实很早就知道这个问题了。其实文件基本都是全局可读，/etc/passwd是没有hash的。理想方案是chroot，但是懒:)

MaticsL commented 9 years ago

嗯，我写本校oj的时候用的zoj开源判题机中招严重。但是不想chroot就直接网页屏蔽关键词了。果然大oj不一定靠谱。

crccw commented 9 years ago

https://github.com/BNUACM/bnuoj-backend/pull/4

尽管无法彻底解决这个问题，以后会加chroot