HP Fortify 路径操作验证规则

Posted

技术标签:

【中文标题】HP Fortify 路径操作验证规则【英文标题】:HP Fortify Validation Rules on Path Manipulation 【发布时间】:2016-06-18 16:03:58 【问题描述】:

我正在通过 Hp Fortify 运行代码,并且发现了一些路径操纵结果。我了解它的上下文并试图解决。

我没有遍历从数据库中查询某些路径值以存储输出文件(日志、导出数据等)的所有地方,而是尝试将其集中起来。所以,我不想让 File.WriteAllText() 带有一些路径+文件名、内容,而是想换行

FortifyFileWriteAllText()。然后,在这个函数中,我预先进行一次路径验证检查,如果有效,则只有这样才允许写入继续,例如...

public static bool FortifyFileWriteAllText( string fileToWrite, string content)

   if( ! MyPathValidationRoutine( fileToWrite ))
      return false;

   File.WriteAllText( fileToWrite, content );
   return true;

所以,我知道这是实际验证和防止错误写入的缩写,但我调用 Path.GetFullPath() 来防止任何此类 ..\..\.. 路径引用。然后查看最终路径,明确地阻止诸如根 C:、C:\Windows 和其他一些东西,但也有一个“CLEAN”路径列表。

那么,我将如何应用一条规则,表明该例程的任何内容都可以,并且已明确检查过并且可以。

【问题讨论】:

【参考方案1】:

如果操作正确,fortify 数据流分析器将沿着您的数据路径跟踪,查看一些预期的函数(即 getCanonicalPath()、pattern.matcher() 等)并触发生成 TAINFLAG=VALIDATED_PATH_MANIPULATION 的接收器规则。然后数据流分析器看到这个特定的 TAINTFLAG,它将静音问题报告。这个过程是按设计发生的。如果您实现了函数 FortifyFileWriteAllText(),而 Fortify 仍然报错,可能是因为 fortify 不喜欢您使用的方法。

如果您认为函数 FortifyFileWriteAllText() 确实阻止了 PM,这里是自定义接收器规则,用于为您创建 VALIDATED_PATH_MANIPULATION 污点标志。放到~FORTIFY_HOME/Core/config/rules目录下使用。

<?xml version="1.0" encoding="UTF-8"?>
<RulePack xmlns="xmlns://www.fortifysoftware.com/schema/rules">
    <RulePackID>YOUR RULE PACK ANME HERE</RulePackID>
    <SKU>SKU-ANY THING HERE</SKU>
    <Name><![CDATA[ANY THING HERE]]></Name>
    <Version>1.0</Version>
    <Description><![CDATA[]]></Description>
    <Rules version="6.31">
        <RuleDefinitions>
            <DataflowSinkRule formatVersion="6.31" language="java">
                <MetaInfo>
                    <Group name="MyCompany">Path Manipulation Remediation</Group>
                    <Group name="Accuracy">4</Group>
                    <Group name="Impact">3</Group>
                    <Group name="RemediationEffort">3</Group>
                    <Group name="Probability">4</Group>
                    <Group name="audience">targeted,medium,broad,dev,fod</Group>
                </MetaInfo>
                <RuleID>put-your-rule-id here-with-prefix-for-future-statistics</RuleID>
                <VulnKingdom>Input Validation and Representation</VulnKingdom>
                <VulnCategory>Path Manipulation</VulnCategory>
                <DefaultSeverity>3.0</DefaultSeverity>
                <Description ref="desc.dataflow.java.path_manipulation">
                    <Explanation append="true"><![CDATA[This issue is being reported by "your rule name here".]]></Explanation>
                </Description>
                <Sink>
                    <InArguments>this</InArguments>
                    <Conditional>
                        <Not>
                            <TaintFlagSet taintFlag="VALIDATED_PATH_MANIPULATION"/>
                        </Not>
                    </Conditional>
                </Sink>
                <FunctionIdentifier>
                    <NamespaceName>
                        <Pattern>com.yourpackage</Pattern>
                    </NamespaceName>
                    <ClassName>
                        <Pattern>yourclass</Pattern>
                    </ClassName>
                    <FunctionName>
                        <Pattern>FortifyFileWriteAllText</Pattern>
                    </FunctionName>
                    <ApplyTo implements="true" overrides="true" extends="true"/>
                </FunctionIdentifier>
            </DataflowSinkRule>
        </RuleDefinitions>
    </Rules>
</RulePack>

【讨论】:

我不得不去路径操作污点,而不是通用的清理规则。谢谢【参考方案2】:

路径操作是一种特殊类型的“资源操作”。它的攻击面仅限于目录和文件。要修复 PM,除了您的输入验证技术之外,您还需要解决 3 个部分的资源,因为每个部分的保护要求不同:

(1) 目录 我们需要防止 ../../ 等。我们应该使用 java.io.File.getCanoncialPath() 来剥离受污染的部分,与原始目录进行比较, 并且只有在它们匹配时才使用它。

(2) FILE_SEPARATOR 使用 java.io.File.separator 比 java.io.File.System.getProperty("file.separator") 更安全,因为第二种方法,分隔符可以通过调用 System.setProperty(String key, String value) 或使用命令行参数 -Dfile.separator=/ 覆盖。

(3) 文件名

使用 java.io.File.getName() 提取文件名。例如“../../tmp/../../%00..xyz.txt”将变为“%00..xyz.txt” 使用白名单允许使用好的字符(从文件名中过滤掉 %00....)。 查看java.util.regex 包了解详情。重要的是使用正确的模式。最好/最清晰的 RegEx 课程是 Oracle Regular Expression。最好的测试站点是RegEx Planet(每次测试都需要刷新页面,否则输出可能不正确)。我安装了RegexpTester plugin,并且在 IntelliJ 15.X IDE 中运行良好。 OWASP ESAPI 文件名模式 = “^[a-zA-Z0-9.\-_ ]0,255$”

【讨论】:

对不起,我没有明确发布 C#(刚刚添加),但我通过完整路径资格进行资格认证,如前所述取消 ../../.. 等。我的问题是如何创建验证规则说..我只是验证字符串并返回一个干净/确认好的字符串,允许继续。

以上是关于HP Fortify 路径操作验证规则的主要内容,如果未能解决你的问题,请参考以下文章

更改 HP Fortify C 规则优先级

HP Fortify 规则抑制属性 C#

HP Fortify Cookie头操作错误

SonarQube添加自定义规则:实践验证

请问jQuery validate自定义验证规则怎么调用

yii2中的rules自定义验证规则都有哪些