信息安全工程師案例分析當(dāng)天每日一練試題地址：www.jazzmuze.com/exam/ExamDayAL.aspx?t1=6

往期信息安全工程師每日一練試題匯總：www.jazzmuze.com/class/27/e6_1.html

信息安全工程師案例分析每日一練試題（2021/10/19）在線測(cè)試：www.jazzmuze.com/exam/ExamDayAL.aspx?t1=6&day=2021/10/19

點(diǎn)擊查看：更多信息安全工程師習(xí)題與指導(dǎo)

信息安全工程師案例分析每日一練試題內(nèi)容（2021/10/19）

閱讀下列說(shuō)明和代碼，回答問(wèn)題1和問(wèn)題2，將解答卸載答題紙的對(duì)應(yīng)欄內(nèi)。
【說(shuō)明】
某一本地口令驗(yàn)證函數(shù)（C語(yǔ)言環(huán)境，X86_32指令集）包含如下關(guān)鍵代碼：某用戶的口令保存在字符數(shù)組origPassword中，用戶輸入的口令保存在字符數(shù)組userPassword中，如果兩個(gè)數(shù)組中的內(nèi)容相同則允許進(jìn)入系統(tǒng)。

【問(wèn)題1】（4分）
用戶在調(diào)用gets()函數(shù)時(shí)輸入什么樣式的字符串，可以在不知道原始口令“Secret”的情況下繞過(guò)該口令驗(yàn)證函數(shù)的限制？
【問(wèn)題2】（4分）
上述代碼存在什么類型的安全隱患？請(qǐng)給出消除該安全隱患的思路。

信管網(wǎng)cnitpm443645870225：
1. 2.上述代碼存在口令可被繞過(guò)的風(fēng)險(xiǎn)，存在代碼注入漏洞，應(yīng)對(duì)用戶數(shù)據(jù)的數(shù)據(jù)進(jìn)行過(guò)濾，保證用戶輸入的數(shù)據(jù)不被轉(zhuǎn)換為代碼進(jìn)行執(zhí)行。

信管網(wǎng)cnitpm1453623058：
1、前12個(gè)字符和后續(xù)的12個(gè)字符相同們就可以在不知道原始口令＂secret＂的情況下繞過(guò)該口令驗(yàn)證函數(shù)的限制 2、存在緩沖區(qū)溢出的攻擊。加入檢查用戶輸入口令的長(zhǎng)度的方法。

信管網(wǎng)chenyuntao：
問(wèn)題1：輸入連續(xù)24個(gè)字符組成的字符串，且前12個(gè)字符和后12個(gè)字符完全相同。 問(wèn)題2：緩沖區(qū)溢出漏洞。加入檢查輸入字符串長(zhǎng)度的代碼，使長(zhǎng)度不超過(guò)12個(gè)字符。

信管網(wǎng)chenyuntao：
問(wèn)題1：輸入24個(gè)字符的字符串，前1前個(gè)字符和后12個(gè)完全相同。 問(wèn)題2：緩沖區(qū)溢出漏洞。對(duì)輸入字符串的長(zhǎng)度限制為不超過(guò)12。