Инжекции: когато данните станат команда

Код на:JavaC#PythonJavaScript

Проблем

Миниатюра с изненада

Купувачите качват снимки към отзивите си. Инструментът на магазина прави от всяка миниатюра: пуска програмата за снимки (например magick от ImageMagick) с името на файла.

Тук вместо истинския конвертор стои echo. Той само отпечатва аргументите си, затова изходът показва точно какво е стигнало до програмата:

import { execSync } from "node:child_process";

function makeThumbnail(fileName) {
  const command = "echo resize " + fileName;
  const out = execSync(command);
  process.stdout.write(out);
}

makeThumbnail("shoes.jpg");
makeThumbnail("shoes.jpg; echo injected");

Изход

resize shoes.jpg
resize shoes.jpg
injected

Първото име е обикновено. Второто е shoes.jpg; echo injected, и изходът има три реда, а не два. injected го отпечата команда, която купувачът е написал в името на файла. Тук тя е безобидно echo, но на нейно място може да стои всяка команда, и тя тръгва с правата на сървъра на магазина.

Идеята

Текст, който влиза в език

Командата за shell-а е език. В него ; значи „край на командата, следва друга“. Кодът слепи името на купувача в този език, и знаците в името смениха смисъла на командата. Това е инжекция в командния ред (command injection).

Същото вече си виждал с SQL. Когато програмата слепи ' OR '1'='1 в заявката, кавичката затваря текста по-рано и условието става вярно за всеки ред. Поправката беше параметър: заявката и стойността отиват в базата поотделно. Това е урокът „Бази данни“ в курса по езика и „SQL injection и параметрите“ в курса по SQL, затова тук няма да го повтаряме.

Където текст влиза в език, има знаци със смисъл:

Къде влиза текстът	Знаци със смисъл	Как остава данни
SQL заявка	', --, ;	параметър
команда за shell-а	;, &&, $( ), интервал	списък от аргументи, без shell
път до файл	.., /, \, път от корена	каноничен път и проверка, или номер от списък
HTML страница	<, >, ", &	escape (следващият урок)

Обща идея: не позволявай данните да станат част от командата. Дай ги на системата отделно, по начин, по който тя никога не ги чете като команда.

Виж го

Как името става команда

Двата случая от урока, преди и след поправката. Кодът до сцената се сменя със стъпката:

function makeThumbnail(fileName) {
  const command = "echo resize " + fileName;
  const out = execSync(command);
  process.stdout.write(out);
}

Стъпка по стъпка, с думи

1. Купувачът качва снимка с име „shoes.jpg; echo injected“. Инструментът на магазина прави от нея миниатюра.
2. Кодът слепва името в един низ за shell-а. Името вече не е данни: то е част от команда.
3. За shell-а „;“ е край на командата. Низът става две команди, а втората я е написал купувачът. Тук само печата „injected“, но можеше да е всяка команда.
4. Поправката: без shell. Програмата получава списък от аргументи и цялото име е един аргумент. В него „;“ е обикновен знак.
5. Изтеглянето на фактура слепва името от адреса към папката invoices/. Името е „../settings.txt“, а „..“ значи „една папка нагоре“.
6. Пътят излиза от invoices/ и се чете settings.txt, който е до нея. Името е избрало друг файл.
7. Поправката: първо сметни докъде стига пътят наистина (каноничния път), после провери, че е още в invoices/. settings.txt не е: отказ.

Пробвай

Намери реда

Магазинът праща касова бележка: прави PDF и го изпраща на имейла на купувача. Кой ред дава текст от купувача на shell-а?

Избери реда с грешката.

1function sendReceipt(orderId, email) {2 const pdf = `receipt-${orderId}.pdf`;3 execFileSync("echo", ["render", pdf]);4 execFileSync("echo", ["attach", pdf]);5 execSync("echo изпрати на " + email);6}

Провери

Идеята

Списък от аргументи вместо низ

Поправката не е да „почистиш“ името. Тя е да няма shell, който да го чете. Програмата се пуска с списък от аргументи: първият е програмата, а всеки следващ стига до нея цял, каквито и знаци да има в него.

import { execFileSync } from "node:child_process";

function makeThumbnail(fileName) {
  const out = execFileSync("echo", ["resize", fileName]);
  process.stdout.write(out);
}

makeThumbnail("shoes.jpg");
makeThumbnail("shoes.jpg; echo injected");

Изход

resize shoes.jpg
resize shoes.jpg; echo injected

Второто име стигна до конвертора като един аргумент, с ; вътре. Втора команда няма.

execFileSync("echo", [...]) пуска програмата направо, без shell, а execSync(низ) винаги минава през shell. Същото е при execFile срещу exec и при spawn без shell: true.

По-точно, за любопитните

• Най-добре е изобщо да не пускаш външна програма. За снимките има библиотеки: sharp. Тогава няма команда, в която да влезе текст.
• Пази имената си. Запиши каченото файлче под име, което програмата измисля (номер или UUID), а името на купувача остави като данни в базата. Тогава в командата и в пътя стига само твоето име.
• Аргумент, който започва с -. Без shell ; е безвреден, но програмата пак може да прочете име като -x като своя опция. Затова много програми приемат -- („край на опциите“) преди имената на файлове, или слагаш ./ пред името.
• child_process.exec и execSync пускат shell, а spawn, execFile и execFileSync не го пускат, освен ако не им дадеш shell: true.

Проблем

Фактура, която не е фактура

Купувачът си изтегля фактурата от /invoices/1041.txt. Сървърът взима името от адреса и го слепва към папката с фактурите:

function download(name) {
  const file = path.join(invoices, name);
  return fs.readFileSync(file, "utf8");
}

console.log(download("1041.txt"));
console.log(download("../settings.txt"));

Изход

Фактура 1041: 59 €
payment_api_key=demo-not-real

Второто име е ../settings.txt. .. в път значи „една папка нагоре“. Пътят излезе от invoices/ и сървърът прочете settings.txt, който стои до нея, с ключа за плащанията.

Това е path traversal (обхождане на пътя): името от заявката избира файл извън папката, която кодът е имал предвид. Програмата тук си прави своя временна папка и чете само в нея; в истински сървър .. може да се качи много нива нагоре.

Идеята

Каноничен път, после проверка

Поправката има две стъпки:

1. Сметни докъде стига пътят наистина. Това е каноничният път: пълен, без . и ...
2. Провери, че каноничният път е още в папката с фактурите. Ако не е, откажи.

function download(name) {
  const file = path.resolve(invoices, name);
  if (!file.startsWith(invoices + path.sep)) {
    return "Отказ: извън папката с фактури";
  }
  return fs.readFileSync(file, "utf8");
}

console.log(download("1041.txt"));
console.log(download("../settings.txt"));

Изход

Фактура 1041: 59 €
Отказ: извън папката с фактури

path.resolve(invoices, name) смята пълния път и маха ... Проверката е с invoices + path.sep: без разделителя накрая и папка invoices-old би минала.

Проверката не търси опасни знаци. Тя пита къде свършва пътят, затова не зависи от това за какво си се сетил.

Още по-сигурно е името изобщо да не е път. Адресът носи номер на фактура, а сървърът търси файла в своя таблица: номер, който го няма, е отказ. Това е упражнението по-долу.

По-точно, за любопитните

• Символни връзки. path.resolve работи само с текста на пътя. Ако в папката може да има символна връзка навън, ползвай fs.realpathSync.
• Път от корена. path.resolve(invoices, "/etc/hosts") е /etc/hosts: абсолютният път замества папката. Проверката го хваща.
• Архиви. Имената на файловете в zip архив също са текст отвън. Разархивирането трябва да прави същата проверка за всеки файл (капанът има име: zip slip).
• Подготовката. Програмата си прави временна папка, пише в нея двете фактури и файла с настройки, а накрая я трие. Ето началото ѝ:

const shop = fs.mkdtempSync(path.join(os.tmpdir(), "shop-"));
const invoices = path.join(shop, "invoices");
fs.mkdirSync(invoices);
fs.writeFileSync(path.join(invoices, "1041.txt"), "Фактура 1041: 59 €");
fs.writeFileSync(path.join(invoices, "1042.txt"), "Фактура 1042: 118 €");
fs.writeFileSync(path.join(shop, "settings.txt"), "payment_api_key=demo-not-real");

Пробвай

Каноничният път

Довърши реда, който смята докъде стига пътят:

function download(name) {
  const file = path.(invoices, name);
  if (!file.startsWith(invoices + path.sep)) {
    return "Отказ: извън папката с фактури";
  }
  return fs.readFileSync(file, "utf8");
}

Провери

Пробвай

Три имена

Какво отпечатва поправеното изтегляне за тези три имена?

console.log(download("1042.txt"));
console.log(download("../invoices/1042.txt"));
console.log(download("../settings.txt"));

Отговор

Фактура 1042: 118 €
Фактура 1042: 118 €
payment_api_key=demo-not-real

Фактура 1042: 118 €
Отказ: извън папката с фактури
Отказ: извън папката с фактури

Фактура 1042: 118 €
Фактура 1042: 118 €
Отказ: извън папката с фактури

Провери

Упражнение

Фактурата по номер

Реши задачата в редактора си.

По номер, не по име. Напиши downloadById(id). Адресът носи само номер на фактура. Таблица в кода казва кой номер кой файл е (1041 → 1041.txt, 1042 → 1042.txt). Номер, който го няма в таблицата, е отказ, а името на файла никога не идва от заявката. Пробвай с 1041, 1042, ../settings.txt и 1043:

Очакваш

Фактура 1041: 59 €
Фактура 1042: 118 €
Отказ: няма такава фактура
Отказ: няма такава фактура

Още задачи

• Чужда фактура. Номерът 1042 е в таблицата, но фактурата е на друг купувач. Какво още трябва да провери сървърът, преди да я върне?
• Името на снимката. Промени инструмента за миниатюри така, че да записва каченото файлче под име, което програмата измисля (номер на отзива и .jpg), а името на купувача да пази само като текст.

Тест

Провери се

1. Кое общо имат SQL injection, инжекцията в командния ред и path traversal?

Текст от потребителя влиза в език (SQL, shell, път) и знаците в него сменят смисъла на командатаТрите са възможни само в уеб сайтовеТрите се оправят, като входът се направи по-къс

2. Инструментът за миниатюри пуска конвертора със списък от аргументи, а името на снимката е последният аргумент. Какво става с „;“ в името?

Програмата падаНищо особено: няма shell, който да го чете, и то е обикновен знак в иметоПуска втора команда

3. Поправеното изтегляне сметне каноничния път и провери, че е в invoices/. Какво връща за „../invoices/1042.txt“?

Грешка: такъв файл нямаОтказ: в името има ..Фактура 1042: пътят излиза и се връща в invoices/, а проверката гледа къде свършва

4. Защо махането на „..“ и „;“ от входа не е поправката?

Защото е бавноТова е списък на забраненото: пропуска всичко, за което не си се сетил. Сигурното е да не даваш на текста смисъл (аргументи, параметри) или да провериш крайния резултатЗащото купувачите имат право на такива имена

5. Купувач качва снимка. Как е най-сигурно да я запишеш на диска?

Под името на купувача, след като махнеш интервалитеПод име, което програмата сама измисля (номер или UUID), а името на купувача да остане само данни в базатаПод името на купувача в отделна папка

Провери

Започни урока отначало

Свързани уроци

• Нужно отпреди: Масиви: push, splice и sort · Map и Set · Бази данни · Недоверен вход
• Продължава в: XSS: чужд скрипт в твоята страница
• Задачи по темата: Сигурност за програмисти