【缺陷周话】第50期:日志伪造
*声明:《缺陷周话》栏目系列文章由奇安信代码卫士团队原创出品。未经许可,禁止转载。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
代码审计是使用静态分析发现源代码中安全缺陷的方法,辅助开发或测试人员在软件上线前较为全面地了解安全问题,防患于未然,因此一直以来都是学术界和产业界研究的热点,并已成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。
奇安信代码卫士团队基于自主研发的国内首款源代码安全检测商用工具,以及十余年漏洞技术研究的积累,推出“缺陷周话”系列栏目。每周针对 CWE、OWASP 等标准中的一类缺陷,结合实例和工具使用进行详细介绍,旨在为广大开发和安全人员提供代码审计的基础性标准化教程。
缺陷周话 • 第50期
日志伪造
1、日志伪造
当日志条目包含未经过授权的用户输入时,会造成日志伪造。攻击者可以通过向应用程序提供包含特殊字符的内容,在日志文件中插入错误的条目。当日志文件自动处理时会将恶意条目写入日志文件,错误的日志条目会破坏文件格式,可以由此掩盖攻击者的入侵轨迹。或者通过回车符和换行符构造输入,将合法的日志条目进行拆分。本文以JAVA语言源代码为例,分析“日志伪造”缺陷产生的原因以及修复方法。该缺陷的详细介绍请参见CWE ID 117: Improper Output Neutralization for Logs (http://cwe.mitre.org/data/definitions/117.html)。
2、日志伪造的危害
利用该漏洞可以跨越信任边界获取敏感数据,攻击者将脚本注入日志文件,在使用 Web 浏览器查看文件时,浏览器可以向攻击者提供管理员 Cookie 的副本,从而获得管理员的访问权限。
3、示例代码
3.1 缺陷代码
例如: INFO:User login succeeded for jack 或 INFO:User login failed for jack 当用户提供的字符串为: jack%0a%0aINFO:+User+login+succeeded +for+tom 在日志记录中会记录下列条目: INFO: User login failed for jack INFO: User login succeeded for tom
3.2 修复代码
在上述修复代码中,在第33行调用 org.apache.commons.lang 包下 StringEscapeUtils 类的静态方法 escapeJavaScript(),该方法使用 JavaScript 字符串规则进行字符转义。
使用代码卫士对修复后的代码进行检测,可以看到已不存在“日志伪造”缺陷。如图3所示:
图3:修复后检测结果
4、如何避免日志伪造
避免日志伪造可在程序输入和输出分别进行控制,假设所有输入都是恶意的,拒绝任何不严格符合规范的输入,严格校验字段相关属性,包括长度、输入类型、接受值的范围等,或将其转换为具有相应规格的输入。在日志输出时指定输出编码格式,若未指定编码格式,在输出时不同编码格式下的某些字符可能被视为特殊字符。
【缺陷周话】第44期:Spring Boot 配置错误:不安全的 Actuator
*奇安信代码卫士团队原创出品。未经许可,禁止转载。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。