כללי למתענינים בחפירות בעינייני סקריפטים בלבד....

[eliezer]

פתאום גיליתי פונקציה מאד מסוכנת ומוזרה שיש בגאווה סקריפט
שמה EVAL
והיא קולטת טקסט מהמשתמש, ומפעילה אותו כקוד!!!
(מישהו אמר הזרקת קוד זדוני?)

אז כתבתי סקריפט קטן שמראה את הדבר בפעולה.
לא שאני יכול לחשוב למה הוא יהיה שימושי...
אבל מי יודע..

סקריפט זה פותח חלון קטן שבו ניתן להקליד קוד וללחוץ בצע, והוא יבוצע!
השימוש באחריותכם בלבד...

#target inDesign
#targetengine avihail
with (myWIn=new Window ("palette","הקלד פקודה")){
    add("StaticText",undefined,"הקלד קוד גאווה סקריפט רצוי");
    m =add ("edittext", [0, 0, 150, 70], "", {multiline: true});
    m.characters=20;
m.text="alert(\"מה השגעון הזה???\");"
      m.minimumSize=[200,200]; 
myBott=  add("button",undefined,"run");  
    }

myBott.onClick=function(){
    eval(m.text);
    };
myWIn.show();
$.gc()
$.gc()

 

[ונתנו10]

למה שגעון?
ומה הבעיה בזה?

 

[אריאל וו]

בעיה ידועה מאוד. יש להתרחק מ-eval, בפרט באתרים, ששם אפשר ממש לפרוץ לשרת בקלות. ובסקריפט, אפשר לגרום לסקריפט לקרוס בקלות, וכן לפרוץ למחשב.

 

[eliezer]

בעיה ידועה מאוד. יש להתרחק מ-eval, בפרט באתרים, ששם אפשר ממש לפרוץ לשרת בקלות. ובסקריפט, אפשר לגרום לסקריפט לקרוס בקלות, וכן לפרוץ למחשב.

באתרים זה מאד מובן..
אבל בסקריפט שהלקוח מריץ על המחשב שלו,
לאן הוא יכול לפרוץ?

 

[אריאל וו]

עובד שעובד בחברה גדולה יכול להיות שלא נותנים לו גישה לכל המחשב, אלא רק לתוכנות שהוא צריך. וכך הוא יוכל לפרוץ את המחשב.

אבל באמת כשאתה המשתמש לכאורה אין סכנה כל-כך גדולה.

אגב, למה אתה מוסיף garbage collection בסוף, ולמה פעמיים?

 

[eliezer]

עובד שעובד בחברה גדולה יכול להיות שלא נותנים לו גישה לכל המחשב, אלא רק לתוכנות שהוא צריך. וכך הוא יוכל לפרוץ את המחשב.

אבל באמת כשאתה המשתמש לכאורה אין סכנה כל-כך גדולה.

אגב, למה אתה מוסיף garbage collection בסוף, ולמה פעמיים?

מצאתי פעם עצה כזו בפורום...
בנסיון להתגבר על דליפת הזכרון שעלולה להווצר מהשימוש בפאלט.
אבל אני לא ממש מבין בדבר.
אשמח לשמוע ממך עצה טובה יותר.

 

[אריאל וו]

מצאתי פעם עצה כזו בפורום...
בנסיון להתגבר על דליפת הזכרון שעלולה להווצר מהשימוש בפאלט.
אבל אני לא ממש מבין בדבר.
אשמח לשמוע ממך עצה טובה יותר.

פאלט? שו הדא?

לא ראיתי אף-אחד שמשתמש ב-GC. כולם סומכים על העובדה שזה קורה לבד בשלב מסויים. אולי בסקריפט ששואב המון משאבים יהיה לזה צורך, אבל נראה לי שבסקריפטים קטנים שלנו אפשר לוותר על זה.

 

[eliezer]

פאלט=palette
לא מפריע לך שכל המשתנים נשארים בזכרון התוכנה בקביעות מי יודע עד מתי?

מ"מ כנראה שאכן אין הרבה ברירות...
תודה

 

[אריאל וו]

לא ידעתי שמשתנים נשארים בתוכנה אחרי סיום הסקריפט. הרי אם תבדוק ב-ESTK אחרי שנגמר הסקריפט, תראה שהם כבר אינם קיימים.

בכל אופן, זה לא יכול להזיק!

 

[eliezer]

לא ידעתי שמשתנים נשארים בתוכנה אחרי סיום הסקריפט. הרי אם תבדוק ב-ESTK אחרי שנגמר הסקריפט, תראה שהם כבר אינם קיימים.

בכל אופן, זה לא יכול להזיק!

בפלאט ורק בו. הם כן. נסה להריץ פלאט ובו כמה סטטיק טקסטים.
ואחרי שתסגור אותו. גש אליהם ותראה שתקבל תשובה ולא ריק.