Μια χαμένη επιταγή που θα μπορούσε να σας κοστίσει: Φόρμα αιτήματος Requests.get και Flask
Φανταστείτε το εξής: ένας νεαρός προγραμματιστής εργάζεται υπό πίεση για να παρουσιάσει μια λειτουργία. Ανοίγει μια εφαρμογή Flask, προσθέτει μια νέα διαδρομή, παίρνει μια παράμετρο ερωτήματος και προχωρά παρακάτω.
Με την πρώτη ματιά, αυτή η χρήση αιτήματος Flask φαίνεται καλή. Αλλά παραλείψτε το τύπος=int και ανοίγεις την πόρτα επιθέσεις ενέσεων. Αυτά είναι τα είδη κινδύνων που διαφεύγουν από τις αξιολογήσεις κώδικα επειδή «απλώς αποφέρουν μια αξία».
Πού κρύβεται ο κίνδυνος FΑίτημα lask και FΦόρμα Αίτησης Lask
Και τα δύο φιάλη.αίτημα και φόρμα αίτησης φιάλης είναι μη αξιόπιστα σημεία εισόδου. Κάθε τιμή που επιστρέφουν προέρχεται απευθείας από τον πελάτη και θα πρέπει να αντιμετωπίζεται ως δυνητικά εχθρική.
Η μη επικύρωση ή η μη απολύμανση αυτών των δεδομένων μπορεί να οδηγήσει σε κρίσιμα ζητήματα ασφαλείας, όπως:
Αυτοί οι κίνδυνοι δεν ισχύουν μόνο για βάσεις δεδομένων ή απόδοση front-end. Οι εισβολείς μπορούν επίσης να εκμεταλλευτούν δεδομένα εισόδου που χρησιμοποιούνται σε πρότυπα ή που διαβιβάζονται σε δευτερεύουσες διεργασίες.
Ασφαλή μοτίβα ψευδοκώδικα:
Προληπτικός CI/CD επιβολή:
Ακόμα κι αν η σύνταξη φαίνεται ασφαλής, η χρήση ακατέργαστων ή μη ελεγμένων τιμών σε πρότυπα ή εντολές συστήματος μπορεί να γίνει ένα σοβαρό διάνυσμα ένεσης.
Πρακτική Ροή Έγχυσης (Ασφαλής Προσομοίωση)
Δείτε πώς συνήθως εκτυλίσσεται ένα ελάττωμα έγχυσης, χρησιμοποιώντας ένα φανταστικό, ασφαλές σενάριο:
- Ένας χρήστης στέλνει μια δημιουργημένη παράμετρο ερωτήματος στην εφαρμογή.
- Η εφαρμογή διαβάζει την τιμή χρησιμοποιώντας request.args.get() χωρίς επικύρωση.
- Αυτή η τιμή συνενώνεται απευθείας σε ένα ερώτημα SQL, μια συμβολοσειρά προτύπου ή μια εντολή κελύφους.
- Το σύστημα εκτελεί αυτήν τη λογική, αγνοώντας το περιεχόμενο που έχει εισαχθεί.
Ψευδοκώδικας (μη ασφαλής, μόνο ενδεικτικός):
Πλασματικό ίχνος καταγραφής:
Παρόλο που αυτό το παράδειγμα χρησιμοποιεί placeholders, αντικατοπτρίζει τον τρόπο με τον οποίο μικρές παραλείψεις στον χειρισμό εισόδου μπορούν να οδηγήσουν σε κρίσιμα τρωτά σημεία.
Οι αυτοματοποιημένες δοκιμές ενδέχεται να μην το κάνουν αυτό, επειδή συνήθως ελέγχουν για έγκυρους τύπους εισόδου και όχι για λανθασμένα ή κακόβουλους τύπους.
Κρυμμένοι κίνδυνοι στις εξαρτήσεις που χρησιμοποιούν Αίτημα φιάλης και Φόρμα Αίτησης Φιάλης
Ο κώδικά σας μπορεί να είναι καθαρός, αλλά τα πακέτα τρίτων μπορούν να σας παραβιάσουν.
Ορισμένα πρόσθετα ή βιβλιοθήκες Flask καλούν εσωτερικά το αίτημα flask ή τη φόρμα αιτήματος flask χωρίς επικύρωση.
Παράδειγμα με φανταστικά πακέτα:
In CI/CD, οι αυτοματοποιημένες ενημερώσεις εξαρτήσεων μπορούν να εισαγάγουν σιωπηλά μη ασφαλή αιτήματα. κλήσεις λήψης ή ευάλωτα μοτίβα χειρισμού εισόδου.
Πόσο μη ασφαλές Αίτημα φιάλης Δελτία Χρήσης - Κριτικές Προηγούμενων Κωδικών
Σε γρήγορα εξελισσόμενα περιβάλλοντα, μικρά αλλά επικίνδυνα λάθη συχνά περνούν απαρατήρητα, ειδικά όταν η αλλαγή φαίνεται ακίνδυνη.
Παράδειγμα pull request διαφορά:
Σχόλιο κριτή:
«Φαίνεται εντάξει, απλώς λαμβάνει μια παράμετρο.»
Αυτού του είδους η παράλειψη είναι συνηθισμένη λόγω:
- Γνωστική προκατάληψηΟι κριτές ενδέχεται να υποθέσουν ότι η συνάρτηση request.args.get() είναι ασφαλής από προεπιλογή.
- Πίεση χρόνουΟι έλεγχοι ασφαλείας περνούν σε δεύτερη μοίρα όταν πλησιάζουν οι προθεσμίες.
- Διαφορική εξοικείωση: η αλλαγή φαίνεται μικρή, επομένως δεν εξετάζεται σε βάθος.
Χωρίς σαφείς κανόνες ή αυτοματοποιημένη επιβολή, αυτοί οι ανεπαίσθητοι κίνδυνοι περνούν απαρατήρητοι στην παραγωγή.
Πρόληψη που λειτουργεί
Για τον μετριασμό των κινδύνων έγχυσης, συνδυάστε την επικύρωση εισόδου, την αυτοματοποιημένη σάρωση και την κάλυψη δοκιμών.
Επικύρωση εισόδου με μετάδοση και προσθήκη στη λίστα επιτρεπόμενων:
Η μετατροπή επιβάλλει την τιμή σε έναν ασφαλή τύπο, ενώ η προσθήκη στη λίστα επιτρεπόμενων διασφαλίζει ότι προχωρούν μόνο οι γνωστές και καλές τιμές.
Στατικός Έλεγχος Ασφάλειας Εφαρμογών (SAST) στο CI/CD:
Αυτό το βήμα βοηθά στην ανίχνευση μη επικυρωμένων request.args.get() or request.form.get() κλήσεις πριν φτάσουν στην παραγωγή.
Δοκιμές μονάδας για την επιβολή της απολύμανσης:
Αυτές οι δοκιμές διασφαλίζουν ότι η εφαρμογή απορρίπτει με συνέπεια τυχόν λανθασμένα ή κακόβουλα δεδομένα εισόδου.
Ενσωμάτωση σε DevSecOps Pipelines
Επιβολή middleware:
@app.before_request
Σάρωση τόσο του κώδικά σας όσο και των εξαρτήσεων τρίτων Βοηθά στον εντοπισμό μη ασφαλών requests.get, flask request και χρήσης φόρμας flask request πριν φτάσει στην παραγωγή.
Αυτό το πρόβλημα ξεπερνά τη φιάλη
Ο μη ασφαλής χειρισμός δεδομένων εισόδου δεν είναι μοναδικός στο Flask, αλλά υπάρχει σε όλα τα διαδικτυακά πλαίσια. Ευτυχώς, η λύση είναι συνεπής: επικυρώστε τα δεδομένα εισόδου έγκαιρα και αυστηρά.
Django (ασφαλής ψευδοκώδικας):
FastAPI (ασφαλές εκ κατασκευής χρησιμοποιώντας υποδείξεις τύπου):
Και τα δύο παραδείγματα επιβάλλουν τον τύπο και το εύρος εισόδου, διασφαλίζοντας ότι τα εισερχόμενα δεδομένα είναι αξιόπιστα πριν φτάσουν σε ευαίσθητη λογική.
Είτε πρόκειται για Flask, Django ή FastAPI, κάθε παράμετρος αιτήματος είναι ένα πιθανό σημείο έγχυσης εάν δεν επικυρωθεί σωστά.
Χρήση του Xygeni για ανίχνευση στο DevSecOps
Σε ένα περιβάλλον DevSecOps, οι μη αυτόματες αξιολογήσεις δεν επαρκούν. Ξυγένη Αυτοματοποιεί την ανίχνευση μη ασφαλών αιτημάτων για φιάλη, φόρμας αιτήματος φιάλης και requests.get usage.
Πρακτικές εφαρμογές DevSecOps:
- Στατικές σαρώσεις: Επισημαίνει οποιαδήποτε request.args.get() without τύπος=και κλήσεις φόρμας αιτήματος φιάλης χωρίς επικύρωση.
- Ανάλυση εξάρτησηςΠαρακολουθεί τις βιβλιοθήκες για μη ασφαλή μοτίβα που θα μπορούσαν να εμφανιστούν μέσω έμμεσων κλήσεων.
- Αποκλεισμός μη ασφαλών συγχωνεύσεων: CI/CD Αποτυγχάνει εάν ο νέος κώδικας εισαγάγει επικίνδυνα requests.get ή μη επικυρωμένη πρόσβαση σε φόρμα.
- Βασική επιβολή: Παρακολουθεί τις αλλαγές για να αποτρέψει την υποτροπή των ασφαλών κλήσεων σε μη ασφαλείς.
Η αυτοματοποίηση αυτών των ελέγχων μειώνει τον κίνδυνο ανθρώπινου λάθους και διατηρεί την ασφάλεια συνεχή χωρίς να επιβραδύνει την παράδοση.
Λοιπόν, Επικύρωση, Απολύμανση, Αυτοματοποίηση
Εδώ είναι το συμπέρασμα: τα requests.get, flask request και flask request form είναι όλα μη αξιόπιστο από προεπιλογήΘα σας παραδώσουν με χαρά κακόβουλα δεδομένα, εκτός αν αναλάβετε δράση.
Οι τρεις κανόνες σας:
- Επικύρωσε εισροές χρησιμοποιώντας χύτευση και λευκές λίστες.
- Καθαρίστε πριν τα δεδομένα αγγίξουν ευαίσθητες λειτουργίες.
- Αυτοματοποιήστε ελέγχει στο δικό σας pipeline για να σταματήσει ο μη ασφαλής κώδικας πριν από την ανάπτυξη.
Ένας μόνο μη ασφαλής χειριστής αιτημάτων flask, ένα μη ελεγμένο πεδίο φόρμας αιτήματος flask ή μια μη προστατευμένη κλήση requests.get μπορεί να θέσει σε κίνδυνο την εφαρμογή σας. Αντιμετωπίστε κάθε παράμετρο ως δυνητικά επικίνδυνη και αφήστε το DevSecOps σας... pipeline εφαρμόζουν τους κανόνες κάθε φορά.
