Инжекции: когато данните станат команда

Код на:JavaC#PythonJavaScript

Проблем

Миниатюра с изненада

Купувачите качват снимки към отзивите си. Инструментът на магазина прави от всяка миниатюра: пуска програмата за снимки (например magick от ImageMagick) с името на файла.

Тук вместо истинския конвертор стои echo. Той само отпечатва аргументите си, затова изходът показва точно какво е стигнало до програмата:

static void makeThumbnail(String fileName) {
    String command = "echo resize " + fileName;
    run(new ProcessBuilder("sh", "-c", command));
}

static void run(ProcessBuilder builder) {
    try {
        Process process = builder.start();
        System.out.print(new String(process.getInputStream().readAllBytes()));
        process.waitFor();
    } catch (IOException | InterruptedException e) {
        throw new RuntimeException(e);
    }
}

makeThumbnail("shoes.jpg");
makeThumbnail("shoes.jpg; echo injected");

Изход

resize shoes.jpg
resize shoes.jpg
injected

Първото име е обикновено. Второто е shoes.jpg; echo injected, и изходът има три реда, а не два. injected го отпечата команда, която купувачът е написал в името на файла. Тук тя е безобидно echo, но на нейно място може да стои всяка команда, и тя тръгва с правата на сървъра на магазина.

Идеята

Текст, който влиза в език

Командата за shell-а е език. В него ; значи „край на командата, следва друга“. Кодът слепи името на купувача в този език, и знаците в името смениха смисъла на командата. Това е инжекция в командния ред (command injection).

Същото вече си виждал с SQL. Когато програмата слепи ' OR '1'='1 в заявката, кавичката затваря текста по-рано и условието става вярно за всеки ред. Поправката беше параметър: заявката и стойността отиват в базата поотделно. Това е урокът „Бази данни“ в курса по езика и „SQL injection и параметрите“ в курса по SQL, затова тук няма да го повтаряме.

Където текст влиза в език, има знаци със смисъл:

Къде влиза текстът	Знаци със смисъл	Как остава данни
SQL заявка	', --, ;	параметър
команда за shell-а	;, &&, $( ), интервал	списък от аргументи, без shell
път до файл	.., /, \, път от корена	каноничен път и проверка, или номер от списък
HTML страница	<, >, ", &	escape (следващият урок)

Обща идея: не позволявай данните да станат част от командата. Дай ги на системата отделно, по начин, по който тя никога не ги чете като команда.

Виж го

Как името става команда

Двата случая от урока, преди и след поправката. Кодът до сцената се сменя със стъпката:

static void makeThumbnail(String fileName) {
    String command = "echo resize " + fileName;
    run(new ProcessBuilder("sh", "-c", command));
}

Стъпка по стъпка, с думи

1. Купувачът качва снимка с име „shoes.jpg; echo injected“. Инструментът на магазина прави от нея миниатюра.
2. Кодът слепва името в един низ за shell-а. Името вече не е данни: то е част от команда.
3. За shell-а „;“ е край на командата. Низът става две команди, а втората я е написал купувачът. Тук само печата „injected“, но можеше да е всяка команда.
4. Поправката: без shell. Програмата получава списък от аргументи и цялото име е един аргумент. В него „;“ е обикновен знак.
5. Изтеглянето на фактура слепва името от адреса към папката invoices/. Името е „../settings.txt“, а „..“ значи „една папка нагоре“.
6. Пътят излиза от invoices/ и се чете settings.txt, който е до нея. Името е избрало друг файл.
7. Поправката: първо сметни докъде стига пътят наистина (каноничния път), после провери, че е още в invoices/. settings.txt не е: отказ.

Пробвай

Намери реда

Магазинът праща касова бележка: прави PDF и го изпраща на имейла на купувача. Кой ред дава текст от купувача на shell-а?

Избери реда с грешката.

1static void sendReceipt(int orderId, String email) {2 String pdf = "receipt-" + orderId + ".pdf";3 run(new ProcessBuilder("echo", "render", pdf));4 run(new ProcessBuilder("echo", "attach", pdf));5 run(new ProcessBuilder("sh", "-c", "echo изпрати на " + email));6}

Провери

Идеята

Списък от аргументи вместо низ

Поправката не е да „почистиш“ името. Тя е да няма shell, който да го чете. Програмата се пуска с списък от аргументи: първият е програмата, а всеки следващ стига до нея цял, каквито и знаци да има в него.

static void makeThumbnail(String fileName) {
    run(new ProcessBuilder("echo", "resize", fileName));
}

static void run(ProcessBuilder builder) {
    try {
        Process process = builder.start();
        System.out.print(new String(process.getInputStream().readAllBytes()));
        process.waitFor();
    } catch (IOException | InterruptedException e) {
        throw new RuntimeException(e);
    }
}

makeThumbnail("shoes.jpg");
makeThumbnail("shoes.jpg; echo injected");

Изход

resize shoes.jpg
resize shoes.jpg; echo injected

Второто име стигна до конвертора като един аргумент, с ; вътре. Втора команда няма.

new ProcessBuilder("echo", "resize", fileName) пуска echo направо, без shell. Всеки низ е отделен аргумент.

По-точно, за любопитните

• Най-добре е изобщо да не пускаш външна програма. За снимките има библиотеки: ImageIO от стандартната библиотека или Thumbnailator. Тогава няма команда, в която да влезе текст.
• Пази имената си. Запиши каченото файлче под име, което програмата измисля (номер или UUID), а името на купувача остави като данни в базата. Тогава в командата и в пътя стига само твоето име.
• Аргумент, който започва с -. Без shell ; е безвреден, но програмата пак може да прочете име като -x като своя опция. Затова много програми приемат -- („край на опциите“) преди имената на файлове, или слагаш ./ пред името.
• Runtime.exec(String) не пуска shell: той цепи низа на интервалите. Затова ; там не прави втора команда, но интервал в името го цепи на два аргумента. Не разчитай на това: ProcessBuilder със списък казва ясно какво е аргумент.

Проблем

Фактура, която не е фактура

Купувачът си изтегля фактурата от /invoices/1041.txt. Сървърът взима името от адреса и го слепва към папката с фактурите:

static String download(String name) throws IOException {
    Path file = invoices.resolve(name);
    return Files.readString(file);
}

System.out.println(download("1041.txt"));
System.out.println(download("../settings.txt"));

Изход

Фактура 1041: 59 €
payment_api_key=demo-not-real

Второто име е ../settings.txt. .. в път значи „една папка нагоре“. Пътят излезе от invoices/ и сървърът прочете settings.txt, който стои до нея, с ключа за плащанията.

Това е path traversal (обхождане на пътя): името от заявката избира файл извън папката, която кодът е имал предвид. Програмата тук си прави своя временна папка и чете само в нея; в истински сървър .. може да се качи много нива нагоре.

Идеята

Каноничен път, после проверка

Поправката има две стъпки:

1. Сметни докъде стига пътят наистина. Това е каноничният път: пълен, без . и ...
2. Провери, че каноничният път е още в папката с фактурите. Ако не е, откажи.

static String download(String name) throws IOException {
    Path file = invoices.resolve(name).normalize();
    if (!file.startsWith(invoices)) {
        return "Отказ: извън папката с фактури";
    }
    return Files.readString(file);
}

System.out.println(download("1041.txt"));
System.out.println(download("../settings.txt"));

Изход

Фактура 1041: 59 €
Отказ: извън папката с фактури

normalize() маха . и .., а Path.startsWith сравнява частите на пътя, не текста: invoices-old не е в invoices.

Проверката не търси опасни знаци. Тя пита къде свършва пътят, затова не зависи от това за какво си се сетил.

Още по-сигурно е името изобщо да не е път. Адресът носи номер на фактура, а сървърът търси файла в своя таблица: номер, който го няма, е отказ. Това е упражнението по-долу.

По-точно, за любопитните

• Символни връзки. normalize() работи само с текста на пътя. Ако в папката може да има символна връзка навън, ползвай toRealPath() (тя иска файлът да съществува).
• Път от корена. invoices.resolve("/etc/hosts") връща /etc/hosts: абсолютният път замества папката. Проверката го хваща.
• Архиви. Имената на файловете в zip архив също са текст отвън. Разархивирането трябва да прави същата проверка за всеки файл (капанът има име: zip slip).
• Подготовката. Програмата си прави временна папка, пише в нея двете фактури и файла с настройки, а накрая я трие. Ето началото ѝ:

static Path invoices;

Path shop = Files.createTempDirectory("shop");
invoices = Files.createDirectory(shop.resolve("invoices"));
Files.writeString(invoices.resolve("1041.txt"), "Фактура 1041: 59 €");
Files.writeString(invoices.resolve("1042.txt"), "Фактура 1042: 118 €");
Files.writeString(shop.resolve("settings.txt"), "payment_api_key=demo-not-real");

Пробвай

Каноничният път

Довърши реда, който смята докъде стига пътят:

static String download(String name) throws IOException {
    Path file = invoices.resolve(name).();
    if (!file.startsWith(invoices)) {
        return "Отказ: извън папката с фактури";
    }
    return Files.readString(file);
}

Провери

Пробвай

Три имена

Какво отпечатва поправеното изтегляне за тези три имена?

System.out.println(download("1042.txt"));
System.out.println(download("../invoices/1042.txt"));
System.out.println(download("../settings.txt"));

Отговор

Фактура 1042: 118 €
Отказ: извън папката с фактури
Отказ: извън папката с фактури

Фактура 1042: 118 €
Фактура 1042: 118 €
Отказ: извън папката с фактури

Фактура 1042: 118 €
Фактура 1042: 118 €
payment_api_key=demo-not-real

Провери

Упражнение

Фактурата по номер

Реши задачата в редактора си.

По номер, не по име. Напиши downloadById(id). Адресът носи само номер на фактура. Таблица в кода казва кой номер кой файл е (1041 → 1041.txt, 1042 → 1042.txt). Номер, който го няма в таблицата, е отказ, а името на файла никога не идва от заявката. Пробвай с 1041, 1042, ../settings.txt и 1043:

Очакваш

Фактура 1041: 59 €
Фактура 1042: 118 €
Отказ: няма такава фактура
Отказ: няма такава фактура

Още задачи

• Чужда фактура. Номерът 1042 е в таблицата, но фактурата е на друг купувач. Какво още трябва да провери сървърът, преди да я върне?
• Името на снимката. Промени инструмента за миниатюри така, че да записва каченото файлче под име, което програмата измисля (номер на отзива и .jpg), а името на купувача да пази само като текст.

Тест

Провери се

1. Кое общо имат SQL injection, инжекцията в командния ред и path traversal?

Текст от потребителя влиза в език (SQL, shell, път) и знаците в него сменят смисъла на командатаТрите са възможни само в уеб сайтовеТрите се оправят, като входът се направи по-къс

2. Инструментът за миниатюри пуска конвертора със списък от аргументи, а името на снимката е последният аргумент. Какво става с „;“ в името?

Програмата падаНищо особено: няма shell, който да го чете, и то е обикновен знак в иметоПуска втора команда

3. Поправеното изтегляне сметне каноничния път и провери, че е в invoices/. Какво връща за „../invoices/1042.txt“?

Грешка: такъв файл нямаОтказ: в името има ..Фактура 1042: пътят излиза и се връща в invoices/, а проверката гледа къде свършва

4. Защо махането на „..“ и „;“ от входа не е поправката?

Защото е бавноТова е списък на забраненото: пропуска всичко, за което не си се сетил. Сигурното е да не даваш на текста смисъл (аргументи, параметри) или да провериш крайния резултатЗащото купувачите имат право на такива имена

5. Купувач качва снимка. Как е най-сигурно да я запишеш на диска?

Под името на купувача, след като махнеш интервалитеПод име, което програмата сама измисля (номер или UUID), а името на купувача да остане само данни в базатаПод името на купувача в отделна папка

Провери

Започни урока отначало

Свързани уроци

• Нужно отпреди: Списъци · HashMap и HashSet · Бази данни · Недоверен вход
• Продължава в: XSS: чужд скрипт в твоята страница
• Задачи по темата: Сигурност за програмисти