JavaScript、PHP、Python等主流程式語言爆安全漏洞

在這次測試中，我們的的輸入中主要使用了不到 30 種的原始資料型別，但也有一些特別的payload。這些特別的payload 是用於測試程式獲取外部資料資源時是否會出現問題。

以上這些測試都是用於分析測試目標——是否會出現“暴露本地檔案、未授權的程式碼注入、未授權的系統程式碼執行操作”等安全問題。

測試結果：均暴露出問題

而從他的測試結果來看，我們確實可以看到Java、PHP、Ruby、Perl、Python分別在經歷了多項測試之後，暴露出來了哪些問題。

Python中存在可用於OS命令執行的未記錄方法和本地環境變數。

Perl 中有一種可執行如 eval() 的 typemap 函式。

NodeJS 中輸出的錯誤資訊會洩露部分檔案內容。

JRuby 可以載入和執行並非設計為遠端程式碼執行的程式碼

PHP中常量的名字可以用來執行遠端命令。

最安全的應用層序也會因此“倒下”

Arnaboldi 表示攻擊者可以利用這些程式語言上的漏洞來“放倒”最安全的應用程式。

一些軟體開發者可能會在沒有意識到的情況下將程式碼包含在應用程式中，而這些程式碼可能導致的後果卻是開發者沒有考慮到的。

即便是按照安全指南來進行開發的最安全的應用程式也可能會因此出現“安全隱患”。

即便開發者沒有惡意企圖，但這些漏洞也可能因為開發者無意識或試圖簡化開發而引入進來。