某日記(後期)

strcat/strcpy/ctrcmp/sprintf の危険な使い方を探せ。一般的にsprintf は snprintf に置き換えるべきだよ。
「Never use filenames instead of true security」俺、英語弱いから、いい訳文が思い浮かばないけど、要するに /tmp とかに予測しやすいファイル名でファイルを作ろうとすると、予想外の事態が起こるということですな。例として典型的なシンボリックリンク攻撃が挙げられてる。一般ユーザが /tmp にあらかじめ特定の名前で /etc/master.passwd あたりに symlink しとくと、不用意にそのファイルで一時ファイルに書き込みに行くようなプログラムを root さんが使ったときに困ったことになるという話。
fopen や freopen は書き込みのために新しいファイルを作るか既にあるファイルを開くから、ファイルが既にある場合に失敗するという動作をアトミックにできない。代わりに open(2) に O_CREAT|O_EXEC を渡そう。 fdopen が使えるよ。
mktemp を使うな。こうしなさい。ちょっと違う話だけど、一時ファイルを作るときのテクニックとして、一回開いたファイルは unlink しても close するまで実体が残るというのは覚えておくとよい。make(1) が使ってる。
「Just because you can read it doesn't mean you should」余計なことはするな。 st デバイスの例は面白くて、古い人はご存じだと思うが、こいつは O_RDONLY で開いて閉じるだけでも副作用がある。開くのなら適切な uid/gid/groups で行い、fstat でチェックしとけ。
setuid プログラムで権限を落とす前にシェルを起動するな。 popen や system はもってのほか。代わりに pipe + fork して(権限を落としてから)execve するといいよ。
他のプログラムにはファイル名を渡すんじゃなくて、開いたデスクリプタを渡したほうがいい。デスクリプタ番号を渡せないときでも /dev/fd/* は使えるよ。
アクセス権はデスクリプタにあるんだから、必要なファイルをまず開いちまって、不要な権限はすぐに落としちまえ。
できるかぎり setuid root はするな。滅多に root 権なんていらないよ。たとえば 1024 未満のポートを開けたいときは inetd を使うといい。
setuid よりも setgid のほうがまし。
g+w なファイルを信用するな。
環境変数を信用するな。system 関数とか絶対使っちゃ駄目だよ。この手の問題について知りたかったら perlsec マニュアルを読むといいよ。
ダイナミックローダには注意したほうがいいよ (ここに書いてあるのは、どっちかといえば、セキュリティを高めるための注意ではなくて、 ld.so が安全側に倒れた時の動作に驚くな、ということでしょうな)。
動的ライブラリのトリッキーな実行順に注意しろ。たとえば、issetugid(2) は、こういうのに絡む本質的な問題への対策として作られたんだよ。