Kiedy przesyłanie plików staje się dostępem do plików
Pojedynczy niezabezpieczony moduł obsługi przesyłania może otworzyć furtkę do ataku typu full path traversal i podatności na przesyłanie plików. Gdy programiści łączą nazwy plików bezpośrednio ze ścieżkami przesyłania, atakujący mogą przesyłać złośliwe nazwy plików lubić ../../etc/passwd aby wyjść z katalogów i uzyskać dostęp do poufnych plików. Ten typ przemierzania ścieżki zmienia proste API przesyłania w potężną lukę w dostępie do plików, szczególnie gdy aplikacja działa z podwyższonymi uprawnieniami.
⚠️Niebezpieczny przykład, wyłącznie do celów edukacyjnych. Nie używać w środowisku produkcyjnym.
// Vulnerable upload handler, file upload vulnerability [HttpPost("/upload")] public async Task<IActionResult> Upload(IFormFile file) { var path = Path.Combine("uploads/", file.FileName); // No validation using var stream = new FileStream(path, FileMode.Create); await file.CopyToAsync(stream); return Ok("File uploaded!"); } Atakujący może przesłać plik o nazwie ../../web.config nadpisywać lub odczytywać zastrzeżone pliki, klasyczny atak polegający na przemierzaniu ścieżki.
Wersja bezpieczna:
// Safe upload with validation and canonicalization [HttpPost("/upload")] public async Task<IActionResult> Upload(IFormFile file) { var fileName = Path.GetFileName(file.FileName); // strip directories var targetDir = Path.GetFullPath("uploads/"); var safePath = Path.Combine(targetDir, fileName); if (!safePath.StartsWith(targetDir)) return BadRequest("Invalid file path"); using var stream = new FileStream(safePath, FileMode.Create); await file.CopyToAsync(stream); return Ok("File securely uploaded!"); } Uwaga edukacyjna: Zawsze kanonizuj ścieżki za pomocą Ścieżka.GetFullPath() i sprawdź, czy wynik pozostaje w katalogu do przesłania. Nigdy nie ufaj plik.NazwaPliku bezpośrednio.
Błędy programistów umożliwiające przemierzanie ścieżek
Większość luk w zabezpieczeniach przesyłania plików, które prowadzą do przechodzenia przez ścieżkę, wynika z pośpiesznego pisania kodu i braku walidacji. Typowe błędy programistów obejmują:
- Łączenie danych wprowadzanych przez użytkownika bezpośrednio ze ścieżkami systemu plików
- Ufny Typ zawartości lub tylko walidacja rozszerzenia
- Pomijanie normalizacji ścieżek przed zapisaniem
Ponowne wykorzystywanie folderów tymczasowych w różnych żądaniach lub mikrousługach
⚠️Niebezpieczny przykład, wyłącznie do celów edukacyjnych. Nie używać w środowisku produkcyjnym.
# Flask example vulnerable to path traversal attack @app.route('/upload', methods=['POST']) def upload(): file = request.files['file'] file.save('uploads/' + file.filename) return 'Uploaded' Atakujący mogą ominąć to proste połączenie, aby przejść przez katalogi (../../app.py) i zapisywać lub nadpisywać dowolne pliki. Wersja bezpieczna:
# Safe file upload validation from werkzeug.utils import secure_filename @app.route('/upload', methods=['POST']) def upload(): file = request.files['file'] name = secure_filename(file.filename) path = os.path.join('uploads', name) file.save(path) return 'Securely uploaded' Uwaga edukacyjna: Użyj pomocników dostarczanych przez framework, takich jak bezpieczna_nazwa_pliku i wymuszaj stosowanie rozszerzeń z listy dozwolonych. Nigdy nie łącz ręcznie danych wejściowych ze ścieżkami plików.
Eksploatacja w rzeczywistości Pipelinei mikrousługi
Ataki typu path traversal nie zdarzają się tylko w publicznych punktach końcowych. Często pojawiają się w ich obrębie. CI/CD systemy, repozytoria artefaktów lub mikrousługi zarządzające przesyłanymi plikami. Na przykład luka w zabezpieczeniach umożliwiająca przesyłanie plików w menedżerze artefaktów kompilacji może umożliwić atakującemu nadpisanie skryptów kompilacji lub wstrzykiwać złośliwe pliki do współdzielonych serwerów.
⚠️Niebezpieczny przykład, wyłącznie do celów edukacyjnych. Nie używać w środowisku produkcyjnym.
# Never expose real tokens, credentials, or internal URLs in pipelines - name: Store build artifact run: cp $UPLOAD_PATH/$FILENAME /var/artifacts/$FILENAME If $NAZWAPLIKU nie jest zweryfikowany, jest sfabrykowany ../../../etc/passwd wartość może nadpisać krytyczne pliki systemowe podczas wdrażania, co jest atakiem polegającym na omijaniu ścieżki w świecie rzeczywistym. Wersja bezpieczna:
# Safer artifact storage guardrail - name: Store build artifact securely run: | SAFE_NAME=$(basename "$FILENAME") cp "$UPLOAD_PATH/$SAFE_NAME" /var/artifacts/"$SAFE_NAME" Uwaga edukacyjna: In pipelines, zdezynfekuj wszystkie dynamiczne zmienne ścieżki. Ogranicz operacje zapisu do kontrolowanych katalogów, aby zapobiec ucieczce systemu plików podczas kompilacji lub wdrożeń.
Zapobieganie przechodzeniu ścieżki w logice przesyłania
Ograniczanie ryzyka przemierzania ścieżek zaczyna się od ścisłej walidacji i izolacji danych wejściowych. Traktuj nazwy plików i ścieżki jako dane wejściowe, którym nie można ufać, od samego początku, zwłaszcza podczas obsługi przesyłanych plików.
Najlepsze praktyki
- Normalizuj i kanonizuj wszystkie ścieżki przed ich użyciem.
- Ogranicz przesyłanie do dedykowanego katalogu poza katalogiem głównym witryny.
- Wymuś listy dozwolonych dla rozszerzeń plików i typów MIME.
- Nigdy nie używaj ponownie folderów tymczasowych między sesjami lub użytkownikami.
- Użyj kontenerowego magazynu jeśli to możliwe, w przypadku przesłanych plików.
Mini lista kontrolna działań zapobiegawczych
- Sprawdź każdą nazwę pliku za pomocą Ścieżka.PobierzNazwęPliku() lub odpowiednik.
- Rozwiąż pełne ścieżki i zweryfikuj granice katalogów.
- Zastosuj rozszerzenia i listy dozwolonych MIME.
- Użyj oddzielnych folderów do przesyłania danych dla każdego użytkownika lub sesji.
- Uwzględnij skanowanie i walidację przesyłania CI/CD testów.
Uwaga edukacyjna: Każdy moduł obsługi przesyłania plików to potencjalny wektor ataku polegającego na przekroczeniu ścieżki. Zbuduj kompleksową obronę, weryfikując, izolując i skanując cały kod obsługi plików.
Jak Xygeni wykrywa i blokuje niebezpieczne przepływy przesyłania danych
Xygeni Code Security skany bazy kodów i pipelines w celu wykrycia wzorców poruszania się po ścieżkach zanim dotrą one do produkcji. Oznacza niebezpieczne łączenie ścieżek, brak kanonizacji i niebezpieczne operacje na plikach zarówno w kodzie, jak i CI/CD skrypty.
Fragment funkcjonalny z zabezpieczeniem kontrolnym:
# Secure enforcement with Xygeni - name: Enforce secure upload and path handling run: dotnet xygeni enforce --rules uploads,path,security --fail-on-risk Uwaga edukacyjna: Integracja Xygeni w wiadomościach pipeline zapewnia, że luki w zabezpieczeniach związane z przesyłaniem plików i ataki polegające na przemierzaniu ścieżki są automatycznie wykrywane podczas walidacji kompilacji.
Zamykanie luki: zapobieganie kolejnym atakom polegającym na przechodzeniu przez ścieżkę
Błąd polegający na przechodzeniu pojedynczej ścieżki w punkcie końcowym przesyłania pliku może umożliwić atakującym dostęp do systemu plików Twojego serwera. Sprawdź procedury przesyłania pod kątem niebezpiecznych połączeń, znormalizuj wszystkie ścieżki i nigdy nie ufaj nazwom plików kontrolowanym przez użytkownika. Dodaj narzędzia do skanowania podatności lubić Xygeni Code Security dla Twojej DevSecOps pipeline w celu wykrywania ataków polegających na przemierzaniu ścieżki i luk w zabezpieczeniach przesyłania plików przed ich wysłaniem. Ze względów bezpieczeństwa każdy zapisany plik musi być traktowany jako wykonany kod!
