内部网站需要'taint'模式吗？

Question

我来支持的中型内部网站大约有一半的*.cgi文件没有'污染'模式。我是否需要一个内部网站的"污点"模式?

Answer 1

你信任内部用户吗?如果不是，那么就是。

Answer 2

假设您确实信任您的内部用户，并且目前不需要污染。您可以考虑在任何现有的脚本中保留taint ON，如果只是为了训练自己如何使用taint的话。这并不像一开始感觉的那么糟糕，有点像在火炭上行走。变得更好。

我可以说，我有不止一个"内部"网站突然(要求改变)变成面向客户的，暴露在互联网上，需要更好的安全性。

另一件要记住的事情是，内部用户有时是最不满意的，并且最有可能以一些微不足道的方式伤害你的组织。