Bei der Arbeit mit Handlebars sind sich Entwickler oft nicht bewusst, dass die falsche Verwendung von Vorlagen schwerwiegende Injektionsfehler verursachen kann. Obwohl Handlebars JS die Ausgabe automatisch maskiert, können unsichere Muster wie dreifache Klammern oder schlecht geschriebene Handlebars-Hilfsprogramme den Schutz umgehen. Dadurch können Angreifer XSS-Nutzdaten einschleusen, Daten stehlen oder Schadcode ausführen.
Dieser Leitfaden zeigt Ihnen, wie Sie Handlebars sicher verwenden, hebt gefährliche und sichere Beispiele hervor und erklärt, wie Sie die Vorlagenvalidierung automatisieren in pipelines mit Tools wie Xygeni.
Warum Lenkervorlagen riskant sein können
Standardmäßig maskiert Handlebars JS Werte, um die direkte Einfügung zu verhindern. Viele Entwickler deaktivieren dies jedoch, ohne sich der Risiken bewusst zu sein. Beispielsweise zeigt die Verwendung von dreifachen Klammern reines HTML:
<!-- Unsafe usage -->
<div>{{{userInput}}}</div>
If userInput is <script>alert('XSS')</script>, Das Skript wird im Browser ausgeführt. Daher kann bereits eine unsichere Vorlage die gesamte App gefährden.
Diese grundlegenden Fehler verdeutlichen das Risiko. Die Geschichte hat gezeigt, dass der Missbrauch von Handlebars zu schwerwiegenden Ausfällen geführt hat. Sehen wir uns einige der bemerkenswertesten Fälle an.
Beispiele aus der Praxis für Lenker-Sicherheitslücken
Obwohl Lenker JS Escape-Werte standardmäßig, die Geschichte zeigt, dass unsichere Muster oder schwache Lenkerhelfer haben ernsthafte Probleme verursacht:
1. Prototypische Verschmutzung in Lenkern (npm-Hinweis GHSA-2cf5-4w76-r9qv)
Im Jahr 2021 wurde ein Fehler in der handlebars Paket selbst. Der Fehler erlaubt Prototyp-Verschmutzung, bei dem Angreifer über manipulierte Vorlagen Eigenschaften in globale Objekte einfügen konnten.
- Auswirkungen: Durch Prototypenverschmutzung können Angreifer Code ausführen, erweiterte Zugriffsrechte erlangen oder Daten stehlen.
- Ausnutzen: Angreifer sendeten bösartige Eingaben wie
__proto__Eigenschaften. Beim Rendern der Vorlagen veränderten diese verunreinigten Objekte das Verhalten der App. - Lektion: Auch die Template-Engine kann Risiken bergen, wenn sie nicht aktualisiert wird. Daher ist es wichtig, Abhängigkeitsscans durchzuführen und Pakete stets auf dem neuesten Stand zu halten.
2. XSS in Asanas benutzerdefinierten Handlebar-Helfern (2019)
Im Jahr 2019 entdeckten Sicherheitsforscher, dass Asana, ein Tool zur Aufgabenverwaltung, bot Benutzern XSS aufgrund unsicherer benutzerdefinierter Helfer. Entwickler schrieben Helfer, die Rohzeichenfolgen zurückgaben mit SafeString, wodurch das integrierte Escape-Verfahren von Handlebars umgangen wird.
- Auswirkungen: Angreifer haben schädliches JavaScript in freigegebene Aufgaben oder Kommentare eingeschleust.
- Ausnutzen: Nutzlasten wie
<script>alert('XSS')</script>wurde im Browser des Opfers ausgeführt, als es diese Felder öffnete. - Lektion: Deaktivieren Sie niemals Escape, es sei denn, Sie haben keine andere Wahl. Überprüfen Sie immer benutzerdefinierte Lenkerhelfer bevor Sie sie bereitstellen.
Arten von Schwachstellen in Lenkern
Unsichere Verwendung von Lenker JS Vorlagen können verschiedene Arten von Schwachstellen aufweisen. Wenn Entwickler diese verstehen, wissen sie genau, was sie verhindern müssen:
Cross-Site Scripting (XSS)
Dies ist der häufigste Fehler. Er tritt auf, wenn Entwickler dreifache Klammern verwenden {{{}}} oder einfache Helfer, die das Entkommen verhindern.
- Auswirkungen: Angreifer können
<script>Tags, HTML oder Iframes, die im Browser des Benutzers ausgeführt werden. - Ejemplo:
<!-- Unsafe -->
<div>{{{userInput}}}</div>
If
userInputenthält<script>alert('XSS')</script>, wird es sofort ausgeführt.
Verschmutzungsprototyp
Wie in der npm advisory GHSA-2cf5-4w76-r9qv, böswillige Eingaben können globale Objekte durch manipulierte Vorlagen ändern.
- Auswirkungen: Dies kann zu willkürlichem Verhalten, einer Ausweitung der Berechtigungen oder einer Datenexfiltration führen.
- Lektion: Immer halten
handlebarsaktualisiert und Abhängigkeitsprüfungen ausgeführt in CI/CD.
Serverseitige Vorlageninjektion (SSTI)
SSTI tritt auf, wenn nicht vertrauenswürdige Eingaben direkt an eine auf dem Server laufende Template-Engine übergeben werden. Mit Lenker JSWenn Entwickler Vorlagen mithilfe von Roheingaben des Benutzers kompilieren, kann ein Angreifer Nutzdaten auf Serverebene ausführen.
// Insecure Handlebars usage (server-side)
const template = Handlebars.compile(req.query.view);
res.send(template({}));
{{#with "require('fs').readdirSync('.')"}}
Die Engine versucht möglicherweise, es auszuwerten und legt dabei serverseitige Dateien offen.
- Auswirkungen: Im Gegensatz zu XSS, das nur den Browser betrifft, kann SSTI direkten Zugriff auf die Serverumgebung bieten.
- Verhütung: Kompilieren Sie niemals Vorlagen aus nicht vertrauenswürdigen Quellen. Verwenden Sie stattdessen nur vordefinierte Vorlagen und bereinigen Sie die Eingaben vor dem Rendern.
Ähnliche Risiken treten auch in anderen Ökosystemen auf. Siehe beispielsweise unseren Leitfaden zu Python-Abhängigkeitsinjektion sichere Praktiken in einem anderen Kontext zu erlernen.
Logikmissbrauch bei Helfern
Maßgeschneidert Lenkerhelfer können gefährlich sein, wenn sie Rohzeichenfolgen zulassen oder mit nicht validierten Eingaben arbeiten.
- Auswirkungen: Angreifer können das Entkommen umgehen oder Helfer dazu verleiten, vertrauliche Daten preiszugeben.
- Ejemplo:
Handlebars.registerHelper('raw', input => new Handlebars.SafeString(input));
Dieser Helfer deaktiviert das Escapen vollständig und sollte vermieden werden.
Datenlecks
Manchmal geben Helfer oder falsch konfigurierte Vorlagen vertrauliche Informationen preis.
- Auswirkungen: Token, Konfigurationswerte oder Datenbankanmeldeinformationen können in der HTML-Ausgabe gerendert werden.
- Lektion: Geben Sie niemals Geheimnisse in Vorlagen preis; validieren und scannen Sie Ihre Repositories auf versehentliche Lecks.
Zusammengenommen verdeutlichen diese Kategorien die Bandbreite der Risiken, denen Entwickler ausgesetzt sind. Selbst kleine Fehler in Handlebars JS können zu Problemen in der Lieferkette führen, wenn sie nicht behoben werden.
Warum das für Entwickler wichtig ist
Diese Schwachstellen beweisen, dass unsichere Nutzung nicht theoretisch ist, sondern in realen Plattformen wie Asana und npm-Pakete. Da Handlebars JS in Node.js- und Frontend-Projekten weit verbreitet ist, werden unsichere Helfer oder veraltete Abhängigkeiten schnell zu einem Risiko für die Software-Lieferkette.
Möchten Sie diese Risiken automatisch blockieren? Starten Sie eine kostenlose Testversion von Xygeni und fügen guardrails in Ihrem pipeline mehr Informationen.
Best Practices für die sichere Verwendung von Lenkern
Um Injektionsfehler zu vermeiden, befolgen Sie diese sicheren Codierungspraktiken:
1. Verwenden Sie immer doppelte Klammern
<!-- Safe -->
<div>{{userInput}}</div>
Dadurch wird sichergestellt, dass die Vorlagen-Engine HTML vor dem Rendern verlässt.
2. Eingabe validieren und bereinigen
Darüber hinaus validieren Sie Eingaben, bevor Sie sie an Vorlagen weitergeben. Bibliotheken wie validator.js
3. Gefährliche Helfer einschränken
Schlecht durchdacht Lenkerhelfer verursachen oft Schwachstellen:
// Dangerous helper
Handlebars.registerHelper('raw', function (input) {
return new Handlebars.SafeString(input);
});
Dadurch wird das Escapen vollständig umgangen. Sichere Helfer sollten jedoch auf einfache Vorgänge wie das Formatieren von Datumsangaben oder das Kürzen von Text beschränkt sein.
4. Verwenden Sie die Content Security Policy (CSP)
Erzwingen Sie außerdem starke CSP-Header, um den Explosionsradius jeder Injektion zu reduzieren.
Diese Best Practices sind während der Entwicklung wichtig. Darüber hinaus können Sie automatisierte Prüfungen hinzufügen, damit unsicherer Code nie in die Produktion gelangt.
Automatisierte Validierung in CI/CD Pipelines
Manuelle Überprüfungen reichen nicht aus. Zur Verdeutlichung: Unsichere Handlebars-Muster können in die Produktion gelangen, wenn keine automatisierten Überprüfungen vorhanden sind:
- SAST Regeln: Flagge
{{{in.hbsDateien. - Geheimnisse-Scanner: In Vorlagen eingebettete Anmeldeinformationen erkennen.
- CI/CD guardrails: Builds abbrechen, wenn unsicher Lenkerhelfer oder dreifache Klammern erscheinen.
Sie können beispielsweise eine Leitplanke in pipelines:
# Example Guardrail Rule
if: contains('{{{')
then: fail_build("Unsafe Handlebars triple braces detected")
Diese Prüfungen verringern die Wahrscheinlichkeit unsicherer Vorlagen, aber Automatisierung im großen Maßstab braucht eine Plattform. Hier bietet Xygeni zusätzlichen Schutz.
Sie können auch sehen, wie die Sicherung pipelines in Bitbucket funktioniert in unserem Häufig gestellte Fragen zur Bitbucket-Sicherheit.
Wie Xygeni hilft, unsichere Lenkernutzung zu verhindern
Das Schreiben von sicherem Code ist wichtig, aber echter Schutz entsteht durch Automatisierung. Xygeni macht Lenker JS sicherer, indem Sie Prüfungen in Ihren Arbeitsablauf integrieren:
- SAST für Vorlagen: Scans
.hbsDateien zum Abfangen unsicherer{{{oder riskante benutzerdefinierte Helfer. - Guardrails: Legen Sie einfache Regeln in GitHub, GitLab oder Bitbucket fest. Wenn unsicherer Handlebars JS-Code gefunden wird, wird der Build gestoppt.
- Automatische Reparatur: Schlägt sichere Korrekturen vor in pull requests, indem Sie dreifache Klammern durch sichere doppelte Klammern oder vertrauenswürdige Helferrufe ersetzen.
- Geheimnisse und Konfigurationsprüfungen: Findet in Vorlagen versteckte Token oder Anmeldeinformationen, bevor sie durchsickern.
- CI/CD Sicherheit: Blockiert unsichere Snippets während der Zusammenführung, sodass nur sicherer Code in die Produktion gelangt.
Mit Xygeni sicher Lenker JS Die Nutzung ist nicht mehr nur eine Richtlinie. Sie wird Teil Ihrer automatisierten pipeline.
Putting It All Together
Handlebars ist standardmäßig weitgehend sicher, aber Missbrauch kann dennoch die Tür für Injection-Angriffe öffnen. Die Einhaltung bewährter Methoden, die Validierung von Eingaben und die Verwendung sicherer Helfer tragen zur Risikominimierung bei. Der eigentliche Vorteil liegt jedoch darin, dass diese Prüfungen in Ihrem pipelines.
Zusammenfassend lässt sich sagen, dass die Kombination guter Programmiergewohnheiten mit Tools wie Xygeni dazu beiträgt, Injektionsfehler zu vermeiden und die Sicherheit von Vorlagen zu gewährleisten, ohne die Bereitstellung zu verlangsamen.
