惠普强化了有关路径操作的验证规则
本文关键字:操作 验证 规则 路径 惠普 | 更新日期: 2023-09-27 18:37:22
我正在通过 Hp Fortify 运行代码,并有一些路径操作结果。 我理解它的背景并试图解决。
我没有遍历从数据库中查询某些路径值以存储输出文件(日志、导出数据等)的所有位置,而是尝试将其集中化。 所以,与其让File.WriteAllText()带有一些路径+文件名,内容,我想包装成
FortifyFileWriteAllText()。 然后,在这个函数中,我预先执行一次路径验证检查,如果有效,则仅允许写入继续,例如......
public static bool FortifyFileWriteAllText( string fileToWrite, string content)
{
if( ! MyPathValidationRoutine( fileToWrite ))
return false;
File.WriteAllText( fileToWrite, content );
return true;
}
所以,我知道这是实际验证和防止错误写入的缩写,但我调用 Path.GetFullPath() 来防止任何此类..'..'..
路径引用。 然后查看最终路径,明确防止像根 C:、C:''Windows 和其他一些东西,但也有一个"干净"的路径列表。
那么,我将如何应用一个规则,该规则说进入此例程的任何内容都是可以的,并且已经过显式检查和确定。
如果你做得对,fortify 数据流分析器将沿着你的数据路径进行跟踪,查看一些预期的函数(即getCanonicalPath(),pattern.matcher()等),并触发生成TAINFLAG=VALIDATED_PATH_MANIPULATION的接收器规则。然后数据流分析器看到这个特定的 TAINTFLAG,它将静音问题报告。此过程是设计使然。如果你实现了函数 FortifyFileWriteAllText(),而 Fortify 仍然抱怨,这可能是因为 fortify 不喜欢你使用的方法。
如果您认为函数 FortifyFileWriteAllText() 确实阻止了 PM,下面是自定义接收器规则,用于为您创建 VALIDATED_PATH_MANIPULATION 污点标志。把它放到 ~FORTIFY_HOME/Core/config/rules 目录下使用。
<?xml version="1.0" encoding="UTF-8"?>
<RulePack xmlns="xmlns://www.fortifysoftware.com/schema/rules">
<RulePackID>YOUR RULE PACK ANME HERE</RulePackID>
<SKU>SKU-ANY THING HERE</SKU>
<Name><![CDATA[ANY THING HERE]]></Name>
<Version>1.0</Version>
<Description><![CDATA[]]></Description>
<Rules version="6.31">
<RuleDefinitions>
<DataflowSinkRule formatVersion="6.31" language="java">
<MetaInfo>
<Group name="MyCompany">Path Manipulation Remediation</Group>
<Group name="Accuracy">4</Group>
<Group name="Impact">3</Group>
<Group name="RemediationEffort">3</Group>
<Group name="Probability">4</Group>
<Group name="audience">targeted,medium,broad,dev,fod</Group>
</MetaInfo>
<RuleID>put-your-rule-id here-with-prefix-for-future-statistics</RuleID>
<VulnKingdom>Input Validation and Representation</VulnKingdom>
<VulnCategory>Path Manipulation</VulnCategory>
<DefaultSeverity>3.0</DefaultSeverity>
<Description ref="desc.dataflow.java.path_manipulation">
<Explanation append="true"><![CDATA[This issue is being reported by "your rule name here".]]></Explanation>
</Description>
<Sink>
<InArguments>this</InArguments>
<Conditional>
<Not>
<TaintFlagSet taintFlag="VALIDATED_PATH_MANIPULATION"/>
</Not>
</Conditional>
</Sink>
<FunctionIdentifier>
<NamespaceName>
<Pattern>com.yourpackage</Pattern>
</NamespaceName>
<ClassName>
<Pattern>yourclass</Pattern>
</ClassName>
<FunctionName>
<Pattern>FortifyFileWriteAllText</Pattern>
</FunctionName>
<ApplyTo implements="true" overrides="true" extends="true"/>
</FunctionIdentifier>
</DataflowSinkRule>
</RuleDefinitions>
</Rules>
</RulePack>
路径操作是一种特殊类型的"资源操作"。其攻击面仅限于目录和文件。若要修正 PM,除了输入验证技术之外,还需要在 3 个部分中处理资源,因为每个部分的保护要求不同:
(1) 目录
我们需要防止../../等。我们应该使用 java.io.File.getCanoncialPath() 来剥离受污染的部分,与原始目录进行比较,并且仅在它们匹配时才使用它。
(2) FILE_SEPARATOR使用 java.io.File.separator 比 java.io.File.System.getProperty("file.separator") 更安全,因为第 2 种方法,分隔符可以通过调用 System.setProperty(字符串键,字符串值)或使用命令行参数 -Dfile.separator=/来覆盖。
(3) FILE_NAME
- 使用 java.io.File.getName() 提取文件名,例如"../../.tmp/。。/../%00....xyz.txt" 将变为 "%00....xyz.txt" 使用
- 白名单允许使用好的字符(从文件名中过滤掉 %00...)。
- 查看 java.util.regex 包了解详细信息。重要的是使用正确的模式。最好/最清晰的正则表达式课程是 Oracle 正则表达式。最好的测试站点是正则表达式星球(您需要刷新每个测试的页面,否则输出可能不正确)。我安装了RegexpTester插件,并且在IntelliJ 15.X IDE中运行良好。
- OWASP ESAPI 文件名模式 = "^[a-zA-Z0-9.''-_ ]{0,255}$"