作者 SkankHunt42 (凱子爸)
標題 Re: [心得] 花了很多時間重構卻被打槍用舊code
時間 Fri Oct  3 23:21:15 2025


※ 引述《LeonH (Leon)》之銘言:
: 我來響應一下,要怎麼說服工程團隊領導重構
: 拿安全性壓他,資安這東西,大家都懂,但大家也都不專業
: 舊架構要嘛運行的環境有已知漏洞、要嘛依賴套件有已知漏洞
: 去 CVEdetails.com 查一下,整理一下已知漏洞高危清單
: 用魔法對付魔法,「不改的話有問題你要負責嗎?」
: 保證沒人敢挺身說我負責,就這樣,改善軟體供應鏈的同時,順便重構。
: 如果有人敢挺身而出,那恭喜,以後背鍋俠就是他了。

有個滿有趣的案例

OpenSSH 2006年有個CVE-2006-5051

是因為SIGALRM不當 導致heap管理的執行續被中斷

後來被修正 但在2021的時候又被錯改回來 叫CVE-2024-6387

OpenSSH 8.5p1 的release notes說明中為:

This release is focused on new features and internal refactoring.

https://bugzilla.redhat.com/show_bug.cgi?id=2294604

 

Marco Benatto提到
This regression was introduced in October 2020 (OpenSSH 8.5p1) by commit
752250c ("revised log infrastructure for OpenSSH"), which accidentally
removed an "#ifdef DO_LOG_SAFE_IN_SIGHAND" from sigdie(), a function that is
directly called by sshd's SIGALRM handler.

https://github.com/openssh/openssh-portable/commit/752250c
upstream: revised log infrastructure for OpenSSH ·  openssh/openssh-portable@752250c ·  GitHub Portable OpenSSH. Contribute to openssh/openssh-portable development by creating an account on GitHub. ...

 


看來這哥們確實是在重構 因為原本sigdie變成sshsigdie

至於為什麼他要刪除#ifdef DO_LOG_SAFE_IN_SIGHAND

可能他覺得本來就很safe 也有可能他覺得行為一致

反正也沒有前人留下充滿怨念的註解警告
(反正大家一定見過那種"祖宗之法不可變"的程式碼註解警告
 就跟進飯店房間要先敲門一樣 寧可信其有不可信其無)

所以他可能就直接刪除了




所以說以資安避免CVE出現的觀點來進行重構提議

老實講 我的想法是 嗯~~~

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 149.22.87.116 (日本)
※ 作者: SkankHunt42 2025-10-03 23:21:15
※ 文章代碼(AID): #1et-dmUD (Soft_Job)
※ 文章網址: https://www.ptt.cc/bbs/Soft_Job/M.1759504880.A.78D.html
※ 編輯: SkankHunt42 (149.22.87.116 日本), 10/03/2025 23:21:56
fgh81113: 有趣案例推1F 10/04 00:09
kurtsgm: 推祖宗之法不可變2F 10/04 01:14
marra: "祖宗之法不可變" XD3F 10/04 02:10
labbat: 沒什麼不能變的 以前說路徑或檔名不能中文不能空格我照用4F 10/04 02:32
yamakazi: 沒寫測試吧5F 10/04 09:01
NDark: 施作的人 沒非常清楚規格 這樣寫測試也會寫不完整
若是修改的地方沒有長期被需要變更 那麼測試就成本沉沒了6F 10/04 09:30

--
作者 SkankHunt42 的最新發文:
點此顯示更多發文記錄