CA3003: Tinjau kode untuk kerentanan injeksi jalur file

Penyebab

Input permintaan HTTP yang berpotensi tidak tepercaya mencapai jalur operasi file.

Secara default, aturan ini menganalisis seluruh codebase, tetapi ini dapat dikonfigurasi.

Deskripsi aturan

Saat bekerja dengan input yang tidak tepercaya dari permintaan web, berhati-hatilah dalam menggunakan input yang dikontrol pengguna saat menentukan jalur ke file. Penyerang mungkin dapat membaca file yang tidak diinginkan, yang mengakibatkan pengungkapan informasi data sensitif. Atau, penyerang mungkin dapat menulis ke file yang tidak diinginkan, yang mengakibatkan modifikasi data sensitif yang tidak sah atau mengorbankan keamanan server. Teknik penyerang umum adalah Path Traversal untuk mengakses file di luar direktori yang dimaksudkan.

Aturan ini mencoba menemukan input dari permintaan HTTP yang mencapai jalur dalam operasi file.

Cara memperbaiki pelanggaran

• Jika memungkinkan, batasi jalur file berdasarkan input pengguna ke daftar aman yang diketahui secara eksplisit. Misalnya, jika aplikasi Anda hanya perlu mengakses "red.txt", "green.txt", atau "blue.txt", hanya izinkan nilai tersebut.
• Periksa nama file yang tidak tepercaya dan validasi bahwa nama terbentuk dengan baik.
• Gunakan nama jalur lengkap saat menentukan jalur.
• Hindari konstruksi yang berpotensi berbahaya seperti variabel lingkungan jalur.
• Hanya terima nama file panjang dan validasi nama panjang jika pengguna mengirimkan nama pendek.
• Batasi input pengguna akhir ke karakter yang valid.
• Tolak nama di mana panjang MAX_PATH terlampaui.
• Tangani nama file secara harfiah, tanpa interpretasi.
• Tentukan apakah nama file mewakili file atau perangkat.

Kapan harus menekan peringatan

Jika Anda telah memvalidasi input seperti yang dijelaskan di bagian sebelumnya, tidak apa-apa untuk menekan peringatan ini.

Mengonfigurasi kode yang akan dianalisis

Gunakan opsi berikut untuk mengonfigurasi bagian mana dari codebase Anda yang akan menjalankan aturan ini.

• Mengecualikan simbol tertentu
• Mengecualikan jenis tertentu dan jenis turunannya

Anda dapat mengonfigurasi opsi ini hanya untuk aturan ini, untuk semua aturan yang berlaku, atau untuk semua aturan dalam kategori ini (Security) yang berlaku untuk aturan tersebut. Untuk informasi selengkapnya, lihat Opsi konfigurasi aturan kualitas kode.

Mengecualikan simbol tertentu

Anda dapat mengecualikan simbol tertentu, seperti jenis dan metode, dari analisis dengan mengatur opsi excluded_symbol_names. Misalnya, untuk menentukan bahwa aturan tidak boleh berjalan pada kode apa pun dalam jenis bernama MyType, tambahkan pasangan kunci-nilai berikut ke file .editorconfig di proyek Anda:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Format nama simbol yang diizinkan pada nilai opsi (dipisahkan oleh |):

• Nama simbol saja (menyertakan semua simbol dengan nama, terlepas dari jenis atau namespace yang memuatnya).
• Nama yang sepenuhnya memenuhi syarat dalam format ID dokumentasi simbol. Setiap nama simbol memerlukan awalan jenis simbol, seperti M: untuk metode, T: untuk jenis, dan N: untuk namespace.
• .ctor untuk konstruktor dan .cctor untuk konstruktor statik.

Contoh:

Mengecualikan jenis tertentu dan jenis turunannya

Anda dapat mengecualikan jenis tertentu dan jenis turunannya dari analisis dengan mengatur opsi excluded_type_names_with_derived_types. Misalnya, untuk menentukan bahwa aturan tidak boleh dijalankan pada metode apa pun dalam jenis bernama MyType dan jenis turunannya, tambahkan pasangan kunci-nilai berikut ke file .editorconfig di proyek Anda:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Format nama simbol yang diizinkan pada nilai opsi (dipisahkan oleh |):

• Nama jenis saja (mencakup semua jenis dengan nama, terlepas dari jenis atau namespace yang memuatnya).
• Nama yang sepenuhnya memenuhi syarat dalam format ID dokumentasi simbol, dengan awalan T: opsional.

Contoh:

Contoh kode semu

Pelanggaran

using System;
using System.IO;

public partial class WebForm : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string userInput = Request.Params["UserInput"];
        // Assume the following directory structure:
        //   wwwroot\currentWebDirectory\user1.txt
        //   wwwroot\currentWebDirectory\user2.txt
        //   wwwroot\secret\allsecrets.txt
        // There is nothing wrong if the user inputs:
        //   user1.txt
        // However, if the user input is:
        //   ..\secret\allsecrets.txt
        // Then an attacker can now see all the secrets.

        // Avoid this:
        using (File.Open(userInput, FileMode.Open))
        {
            // Read a file with the name supplied by user
            // Input through request's query string and display
            // The content to the webpage.
        }
    }
}

Imports System
Imports System.IO

Partial Public Class WebForm
    Inherits System.Web.UI.Page

    Protected Sub Page_Load(sender As Object, e As EventArgs)
        Dim userInput As String = Me.Request.Params("UserInput")
        ' Assume the following directory structure:
        '   wwwroot\currentWebDirectory\user1.txt
        '   wwwroot\currentWebDirectory\user2.txt
        '   wwwroot\secret\allsecrets.txt
        ' There is nothing wrong if the user inputs:
        '   user1.txt
        ' However, if the user input is:
        '   ..\secret\allsecrets.txt
        ' Then an attacker can now see all the secrets.

        ' Avoid this:
        Using File.Open(userInput, FileMode.Open)
            ' Read a file with the name supplied by user
            ' Input through request's query string and display
            ' The content to the webpage.
        End Using
    End Sub
End Class