CSharpCodeProvider - 可濫用嗎？

Question

道歉的問題的短小，但我不認爲它需要太多闡述。

使用CSharpCodeProvider可能導致任何安全隱患，並可能打開服務器進行攻擊嗎？

Answer 1

這取決於你如何使用它。下面是從安全使用的使用分類彙總，你肯定不希望允許（運行要控制在服務器上的代碼或某種環境時）：

• 如果使用CSharpCodeProvider只是爲了生成C＃源代碼，那麼你只需要將生成的文件保存到某個目錄或者根本註釋的權限（如果可以將代碼生成到內存流中）

• 如果使用它要編譯生成的C＃源代碼，則需要運行csc.exe（在某些有限環境（例如共享主機）中可能不可用）的權限。

• 如果你只是生成文件&編譯它們，那麼它可能不會是有害的（雖然有人可能會濫用您的應用程序生成很多很多文件，並使用某種DOS攻擊的攻擊服務器。

• 如果你也加載&執行生成的代碼，那麼它取決於你如何生成它。如果你認爲在C＃/ CodeDOM中沒有錯誤，並且可以保證生成的代碼是安全的，那麼你應該沒問題。

• 如果您的代碼包含諸如CodeSnippetExpression之類的內容，可以提供d（用某種方式）比用戶可以在服務器上編寫和運行他或她想要的任何東西，所以這可能是相當危險的。

Answer 2

整理。表面上它不是一個直接的風險，因爲你不是運行代碼，只是編譯它。然而，沒有什麼說C＃編譯器沒有包含某種錯誤，如果有正確的惡意輸入，它會導致它逃脫並直接開始執行命令。但是，如果您稍後執行編譯後的代碼（並且大概是這樣做的 - 否則爲什麼要編譯它以開始？），它將像您一樣運行相同的上下文。顯然，這具有各種令人不快的安全隱患，就像使用其他語言的準類似eval()功能一樣。

Answer 3

這取決於您正在編譯的源代碼。如果您對來源有足夠的控制權，那麼這可能是一個可接受的風險。如果您允許信任範圍外的人員向編譯器提供代碼，則可能會造成不可接受的風險。