curl - curlでパラメータを送信するときにパスワードはフィルタリングされますか?

Question

cURL --form または --data オプションを使用してユーザー名とパスワードを送信する場合、どの程度安全ですか? ブラウザのフォーム送信と比較して、それらの違いは何ですか?

たとえば、次のフォームはブラウザーフォームとどう違うのでしょうか?

curl --from username=fred --form password=secret http://example.com

score 1 · Accepted Answer

Curl は、ブラウザと同じように HTTP を使用しています。ブラウザでユーザー名とパスワードを送信するのと同じくらい安全/安全ではありません. (HTTP 経由では安全ではなく、HTTPS 経由でも、ほとんどの目的に対して十分に安全です。)

さて、微妙なところがあります。たとえば、マルチユーザーシステムを使用している場合、他の誰かがプロセステーブルを見て、コマンドの実行中に平文のパスワードを確認できる可能性があります。

また、curl が SSL の特異性 (証明書の不安定さ、キーの脆弱性など) について警告する際にそれほど積極的ではない可能性があります。正直なところ、そのような状況で大騒ぎするカールがどれだけ起こるかはわかりません.

しかし、広く非常に一般的に言えば、ブラウザと同じです。

score 1 · Accepted Answer

Curl はブラウザーをエミュレートするため、ネットワーク上ではどちらも同じです。HTTP は安全ではなく、HTTPS はほとんど安全です。ブラウザーは、デフォルトでは送信されないヘッダーをいくつか追加curlしますが、送信するようにすることはできます。

そのコマンドを使用して送信する際の問題curlは、よりローカルです。運が悪く、誰かがps間違ったタイミングで (またはタスクマネージャーを) 実行した場合、パスワードを含むコマンドラインが表示される可能性があります。

2 に答える 2