Բաց թողնված չեկ, որը կարող է ձեզ թանկ նստել. Requests.get և Flask հարցման ձևաթուղթ
Պատկերացրեք սա. կրտսեր ծրագրավորողը ճնշման տակ աշխատում է որևէ գործառույթ թողարկելու համար: Նա բացում է Flask հավելվածը, ավելացնում նոր երթուղի, վերցնում հարցման պարամետրը և անցնում առաջ:
Առաջին հայացքից, Flask-ի այս հարցման օգտագործումը լավ տեսք ունի։ Բայց բաց թողեք տեսակ=int և դու բացում ես դուռը ներարկումների հարձակումներ։ Սրանք այն տեսակի ռիսկերն են, որոնք անտեսվում են կոդի վերանայումներից, քանի որ «դա պարզապես արժեք է բերում»։
Որտեղ է թաքնված ռիսկը Flask հարցում և FLASK-ի հայտի ձև
Երկուսն էլ flask.request և flask.request.form անվստահելի մուտքի կետեր են։ Նրանց վերադարձրած յուրաքանչյուր արժեք գալիս է անմիջապես հաճախորդից և պետք է դիտարկվի որպես պոտենցիալ թշնամական։
Այս տվյալները չհաստատելը կամ չախտահանելը կարող է հանգեցնել կարևոր անվտանգության խնդիրների, այդ թվում՝
- SQL ներարկումը
- Cross-site scripting (XSS)
- Շաբլոնի ներարկում
- Shell հրամանի ներարկում
Այս ռիսկերը վերաբերում են ոչ միայն տվյալների բազաներին կամ առջևի մասի ռենդերինգին. հարձակվողները կարող են նաև շահագործել ձևանմուշներում օգտագործված կամ ենթագործընթացներին փոխանցված մուտքային տվյալները։
Անվտանգ կեղծ կոդային նախշեր.
Կանխարգելիչ CI/CD կիրառում.
Նույնիսկ եթե շարահյուսությունը անվտանգ է թվում, ձևանմուշներում կամ համակարգային հրամաններում հում կամ չստուգված արժեքների օգտագործումը կարող է լուրջ ներարկման վեկտոր դառնալ։
Գործնական ներարկման հոսք (անվտանգ մոդելավորում)
Ահա, թե ինչպես է սովորաբար զարգանում ներարկման թերությունը՝ օգտագործելով հորինված, անվտանգ սցենար.
- Օգտատերը ծրագրին ուղարկում է մշակված հարցման պարամետր։
- Հավելվածը կարդում է արժեքը՝ օգտագործելով request.args.get() առանց վավերացման։
- Այդ արժեքը միացվում է անմիջապես SQL հարցման, ձևանմուշի տողի կամ shell հրամանի մեջ։
- Համակարգը կատարում է այդ տրամաբանությունը՝ անտեղյակ ներարկված բովանդակության մասին։
Կեղծ կոդ (անապահով, միայն նկարազարդում):
Գաղտնի գրանցամատյանի հետք՝
Չնայած այս օրինակում օգտագործվում են տեղապահներ, այն արտացոլում է, թե ինչպես մուտքագրման մշակման մեջ փոքր բացթողումները կարող են հանգեցնել կրիտիկական խոցելիությունների։
Ավտոմատացված թեստերը կարող են սա բաց թողնել, քանի որ դրանք սովորաբար ստուգում են վավեր մուտքագրման տեսակները, այլ ոչ թե սխալ կամ չարամիտները։
Կախվածությունների օգտագործման մեջ թաքնված ռիսկերը Ֆլասկի հարցում և Ֆլասկի հայտի ձև
Ձեր կոդը կարող է մաքուր լինել, բայց երրորդ կողմի փաթեթները դեռ կարող են կոտրել ձեզ։
Որոշ Flask հավելվածներ կամ գրադարաններ ներքին կարգով կանչում են flask request-ը կամ flask request form-ը առանց վավերացման։
Օրինակ՝ հորինված փաթեթներով.
In CI/CD, ավտոմատացված կախվածությունների թարմացումները կարող են աննկատելիորեն ներմուծել անվտանգ հարցումներ։ Ստացեք զանգեր կամ խոցելի մուտքագրման մշակման ձևեր։
Որքան անապահով է Ֆլասկի հարցում Օգտագործման կտրոնների անցյալ կոդերի վերանայումներ
Արագ զարգացող միջավայրերում փոքր, բայց վտանգավոր սխալները հաճախ աննկատ են մնում, հատկապես, երբ փոփոխությունը թվում է անվնաս։
Օրինակ pull request տարբերություն՝
Վերանայողի մեկնաբանությունը.
«Լավ տեսք ունի, պարզապես պարամետր է ստացվում»։
Այս տեսակի անփութությունը տարածված է հետևյալ պատճառներով.
- Կոգնիտիվ կողմնակալությունՎերանայողները կարող են ենթադրել, որ request.args.get() ֆունկցիան լռելյայնորեն անվտանգ է։
- Ժամանակի ճնշումԱնվտանգության ստուգումները մղվում են երկրորդ պլան, երբ վերջնաժամկետները մոտենում են։
- Տարբերության ծանոթությունփոփոխությունը աննշան է թվում, ուստի այն խորը ուսումնասիրության չի ենթարկվում։
Առանց հստակ կանոնների կամ ավտոմատացված կիրառման, այս նուրբ ռիսկերը աննկատ են ներթափանցում արտադրության մեջ։
Կանխարգելում, որն աշխատում է
Ներարկման ռիսկերը մեղմելու համար համատեղեք մուտքային տվյալների վավերացումը, ավտոմատացված սկանավորումը և թեստավորման ծածկույթը։
Մուտքագրման վավերացում՝ հեռարձակման և սպիտակ ցուցակագրման միջոցով.
Քասթինգը պարտադրում է արժեքը տեղափոխել անվտանգ տիպի, մինչդեռ սպիտակ ցուցակում ավելացնելը ապահովում է, որ միայն հայտնի լավ արժեքները շարունակվեն։
Ստատիկ կիրառման անվտանգության թեստավորում (SAST) CI/CD:
Այս քայլը օգնում է հայտնաբերել չհաստատվածը request.args.get() or request.form.get() զանգեր՝ նախքան արտադրության հասնելը։
Միավորային թեստեր՝ ախտահանումը կիրառելու համար.
Այս թեստերը ապահովում են, որ հավելվածը հետևողականորեն մերժի սխալ կամ չարամիտ մուտքային տվյալները։
DevSecOps-ի ինտեգրում Pipelines
Միջնակարգ ծրագրային ապահովման կիրառում.
@app.before_request
Ձեր կոդի և երրորդ կողմի կախվածությունների սկանավորում օգնում է բռնել վտանգավոր requests.get, flask request և flask request form-ի օգտագործումը, նախքան այն արտադրության մեջ կհասնի։
Այս խնդիրը գերազանցում է Flask-ը
Անվտանգ մուտքագրման գործընթացը բնորոշ չէ միայն Flask-ին, այն գոյություն ունի բոլոր վեբ շրջանակների համար։ Բարեբախտաբար, լուծումը հետևողական է. մուտքագրումները վավերացրեք վաղ և խստորեն։
Django (անվտանգ կեղծ կոդ):
FastAPI (անվտանգ է նախագծված՝ օգտագործելով տիպի հուշումներ):
Երկու օրինակներն էլ պարտադրում են մուտքագրման տեսակը և միջակայքը՝ ապահովելով, որ մուտքային տվյալները վստահելի լինեն, նախքան դրանք հասնեն զգայուն տրամաբանությանը։
Անկախ նրանից՝ դա Flask է, Django, թե FastAPI, յուրաքանչյուր հարցման պարամետր պոտենցիալ ներարկման կետ է, եթե պատշաճ կերպով չի վավերացվել։
Xygeni-ի օգտագործումը DevSecOps-ում հայտնաբերման համար
DevSecOps միջավայրում ձեռքով կատարվող վերանայումները բավարար չեն։ Քսիգենի Ավտոմատացնում է վտանգավոր flask հարցման, flask հարցման ձևի և requests.get usage-ի հայտնաբերումը։
DevSecOps-ի գործնական կիրառություններ՝
- Ստատիկ սկանավորումներՆշում է ցանկացած request.args.get() առանց տեսակ=, և flask հարցման ձևի կանչեր, որոնք չունեն վավերացում։
- Կախվածության վերլուծությունՀսկում է գրադարանները՝ անուղղակի կանչերի միջոցով կարող են ի հայտ գալ անվտանգ ձևանմուշներ հայտնաբերելու համար։
- Անապահով միաձուլումների արգելափակում: CI/CD ձախողվում է, եթե նոր կոդը ներմուծում է ռիսկային requests.get կամ չհաստատված ձևի մուտք։
- Հիմնական գծի կիրառումՀետևում է փոփոխություններին՝ անվտանգ զանգերը անվտանգ զանգերի վերածվելուց խուսափելու համար։
Այս ստուգումների ավտոմատացումը նվազեցնում է մարդկային սխալի ռիսկը և պահպանում է անվտանգությունը շարունակական՝ առանց առաքումը դանդաղեցնելու։
Այսպիսով, վավերացրեք, ախտահանեք, ավտոմատացրեք
Ահա ամենակարևորը՝ requests.get-ը, flask request-ը և flask request form-ը բոլորը անվստահելի է ըստ լռելյայնիՆրանք ուրախ կլինեն վնասակար տվյալներ տրամադրել, եթե դուք միջոցներ չձեռնարկեք։
Ձեր երեք կանոնները՝
- վավերացնել մուտքագրումներ՝ օգտագործելով քասթինգ և սպիտակ ցուցակներ։
- Sanitize նախքան տվյալները կդիպչեն զգայուն գործողություններին։
- Ավտոմատացում ստուգումներ ձեր մեջ pipeline տեղակայումից առաջ անվտանգ կոդը կանգնեցնելու համար։
Միակ անապահով flask հարցման մշակիչը, չստուգված flask հարցման ձևի դաշտը կամ չպաշտպանված requests.get կանչը կարող են վտանգել ձեր ծրագիրը: Յուրաքանչյուր պարամետրը համարեք պոտենցիալ վնասակար և թույլ տվեք, որ ձեր DevSecOps-ը... pipeline միշտ պահպանեք կանոնները։
