CA3009: Tinjau kode untuk kerentanan injeksi XML

Penyebab

Input permintaan HTTP yang berpotensi tidak tepercaya mencapai output XML mentah.

Secara default, aturan ini menganalisis seluruh codebase, tetapi ini dapat dikonfigurasi.

Deskripsi aturan

Saat bekerja dengan input yang tidak tepercaya, perhatikan serangan injeksi XML. Penyerang dapat menggunakan injeksi XML untuk menyisipkan karakter khusus ke dalam dokumen XML, membuat dokumen XML tidak valid. Atau, penyerang dapat dengan berbahaya menyisipkan simpul XML yang mereka pilih.

Aturan ini mencoba menemukan input dari permintaan HTTP yang mencapai penulisan XML mentah.

Cara memperbaiki pelanggaran

Untuk memperbaiki pelanggaran, gunakan salah satu teknik berikut:

• Jangan tulis XML mentah. Sebagai gantinya, gunakan metode atau properti yang mengodekan XML inputnya.
• Input xml-encode sebelum menulis XML mentah.
• Validasi input pengguna dengan menggunakan sanitizer untuk konversi jenis primitif dan pengodean XML.

Kapan harus menekan peringatan

Jangan menekan peringatan dari aturan ini.

Contoh kode semu

Pelanggaran

Dalam contoh ini, input diatur ke InnerXml properti elemen root. Mengingat input yang berisi XML yang valid, pengguna berbahaya kemudian dapat sepenuhnya mengubah dokumen. Perhatikan bahwa alice bukan lagi pengguna yang diizinkan setelah input pengguna ditambahkan ke dokumen.

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerXml = "alice";

    string input = Request.Form["in"];
    root.InnerXml = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerXml = "alice"

    Dim input As String = Request.Form("in")
    root.InnerXml = input
End Sub

Jika penyerang menggunakan ini untuk input: some text<allowedUser>oscar</allowedUser>, maka dokumen XML akan menjadi:

<root>some text<allowedUser>oscar</allowedUser>
</root>

Solusi

Untuk memperbaiki pelanggaran ini, atur input ke InnerText properti elemen root alih-alih InnerXml properti .

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerText = "alice";

    string input = Request.Form["in"];
    root.InnerText = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerText = "alice"

    Dim input As String = Request.Form("in")
    root.InnerText = input
End Sub

Jika penyerang menggunakan ini untuk input: some text<allowedUser>oscar</allowedUser>, maka dokumen XML akan menjadi:

<root>some text&lt;allowedUser&gt;oscar&lt;/allowedUser&gt;
<allowedUser>alice</allowedUser>
</root>

Mengonfigurasi kode yang akan dianalisis

Gunakan opsi berikut untuk mengonfigurasi bagian mana dari codebase Anda yang akan menjalankan aturan ini.

• Mengecualikan simbol tertentu
• Mengecualikan jenis tertentu dan jenis turunannya

Anda dapat mengonfigurasi opsi ini hanya untuk aturan ini, untuk semua aturan yang berlaku, atau untuk semua aturan dalam kategori ini (Security) yang berlaku untuk aturan tersebut. Untuk informasi selengkapnya, lihat Opsi konfigurasi aturan kualitas kode.

Mengecualikan simbol tertentu

Anda dapat mengecualikan simbol tertentu, seperti jenis dan metode, dari analisis dengan mengatur opsi excluded_symbol_names. Misalnya, untuk menentukan bahwa aturan tidak boleh berjalan pada kode apa pun dalam jenis bernama MyType, tambahkan pasangan kunci-nilai berikut ke file .editorconfig di proyek Anda:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Format nama simbol yang diizinkan pada nilai opsi (dipisahkan oleh |):

• Nama simbol saja (menyertakan semua simbol dengan nama, terlepas dari jenis atau namespace yang memuatnya).
• Nama yang sepenuhnya memenuhi syarat dalam format ID dokumentasi simbol. Setiap nama simbol memerlukan awalan jenis simbol, seperti M: untuk metode, T: untuk jenis, dan N: untuk namespace.
• .ctor untuk konstruktor dan .cctor untuk konstruktor statik.

Contoh:

Mengecualikan jenis tertentu dan jenis turunannya

Anda dapat mengecualikan jenis tertentu dan jenis turunannya dari analisis dengan mengatur opsi excluded_type_names_with_derived_types. Misalnya, untuk menentukan bahwa aturan tidak boleh dijalankan pada metode apa pun dalam jenis bernama MyType dan jenis turunannya, tambahkan pasangan kunci-nilai berikut ke file .editorconfig di proyek Anda:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Format nama simbol yang diizinkan pada nilai opsi (dipisahkan oleh |):

• Nama jenis saja (mencakup semua jenis dengan nama, terlepas dari jenis atau namespace yang memuatnya).
• Nama yang sepenuhnya memenuhi syarat dalam format ID dokumentasi simbol, dengan awalan T: opsional.

Contoh: