Criptografia

Análise de vulnerabilidades de um código fonte escrito em linguagem C
Fausto Levandoski1 Universidade do Vale do Rios dos Sinos (UNISINOS) Curso Tecnólogo em Segurança da Informação Av. Unisinos, 950 – 93.022-000 – São Leopoldo– RS – Brasil [e-mail] 1

Abstract. This paper presents an analysis of source code written in C language and its main points and vulnerabilities in the end, suggesting a new source code corrected. Resumo. Este artigo apresenta a análise de um código fonte escrito em linguagem C apontando suas vulnerabilidades, falhas de projeto e erros conceituais de programação, ao final sugere um código fonte corrigido.

1. Introdução
Programação segura é uma área importante nestes dias em que é muito difundido o desenvolvimento de serviços de rede e WEB. A programação descuidada é a causa maior de erros nos programas e, conseqüentemente, de falhas de segurança em sistemas computacionais, que podem vir a ser descobertos e explorados por atacantes internos ou externos. Este artigo apresenta a análise de um código fonte simples, escrito em linguagem C, apontando suas vulnerabilidades, falhas de projeto e erros conceituais de programação, e, ao final, sugere um código fonte corrigido.

2. Código fonte do programa
#include #include #include #include static char cmd[128]; static char format[] = "grep %s phone.list\n"; int main(int argc, char *argv[]) { char buf[256]; gets(buf); sprintf(cmd,format,buf+5); puts("\n"); syslog(36,cmd); write(1,"Content-Type: text/plain\n\n",27); system(cmd); return 0; }

O programa apresentado age como um CGI (Common Gateway Interface). CGI consiste em uma tecnologia que permite gerar dados dinamicamente, permitindo que parâmetros sejam enviados para um programa, processados e o resultado devolvido para quem os solicitou. A forma mais comum de CGI é utilizada em aplicações para web, onde os dados são enviados a partir de um navegador, processados pelo servidor web e devolvidos para o usuário. O sistema foi