RCE作为特色 笔记

RCE作为特色

“最劣者统治”(Kakistocracy),即由最糟糕且资质最低者掌权,被引入为一个相关概念。一位名为贾里德·B(Jared B)的教师分享了他为一家由机械工程专业教授哈里(Harry)创立的教育科技公司工作的经历。哈里开发了一个 C 语言解释器,并围绕其建立了一家公司,提供基于 C 编程的 K-12 课程。其软件包含一个网络集成开发环境(IDE)以及一个本地安装的 Windows 版本,该版本包含一个用于远程运行 C 代码的守护进程(daemon)。然而,该守护进程缺乏身份验证机制,且绑定至 0.0.0.0,使得同一网络中的任何域名或计算机均可执行任意 C 代码。这些关键安全漏洞已存在多年,却未被哈里所雇佣的 exclusively 研究生开发人员察觉。该软件已安装于数千台学校计算机上。贾里德向哈里报告了这些问题,哈里发布了一个更新,声称进行了“安全改进”,但未能告知 IT 负责人更新的重要性。贾里德还在哈里的另一网站上发现了一个窃取 Cookie 的利用漏洞以及一个代码注入漏洞。后者暴露了数千条未加密的信用卡交易记录。尽管存在这些严重的安全缺陷和数据泄露,哈里的公司仍继续运营并获得了赞誉。评论者将这一情况与一位其认识的人进行了对比:后者固守于过时的技术,却未危及整个教育体系。
CdXz5zHNQW_B1k6IsjyP4.png