HP Fortify 路径操作验证规则

Question

我正在运行通过 Hp Fortify 编写代码，并且发现了一些路径操作问题。我了解它的上下文并尝试解决它。

我没有遍历从数据库中查询某些路径值以存储输出文件（日志、导出数据等）的所有位置，而是尝试将其集中。因此，我不想让 File.WriteAllText() 带有一些路径 + 文件名、内容，而是想包装成

FortifyFileWriteAllText()。然后，在这个函数中，我预先进行一次路径验证检查，如果有效，才允许写入继续，例如...

public static bool FortifyFileWriteAllText( string fileToWrite, string content)
{
   if( ! MyPathValidationRoutine( fileToWrite ))
      return false;

   File.WriteAllText( fileToWrite, content );
   return true;
}

所以，我知道这是实际验证和防止错误写入的缩写，但我调用 Path.GetFullPath() 来防止任何此类 ..\..\.. 路径引用。然后查看最终路径，明确阻止诸如根目录 C:、C:\Windows 和其他一些内容，但也有一个 "CLEAN" 路径列表。

那么，我将如何着手应用一条规则，该规则表明进入此例程的任何事情都可以，并且已经明确检查过并且可以。

Answer 1

路径操作是 "Resource Manipulation" 的一种特殊类型。它的攻击面仅限于目录和文件。要修复 PM，除了您的输入验证技术外，您还需要解决 3 个部分的资源，因为每个部分的保护要求不同：

(1) 目录
我们需要防止 ../../ 等。我们应该使用 java.io.File.getCanoncialPath() 来剥离污染部分，比较使用原始目录，只有在它们匹配时才使用它。

(2) FILE_SEPARATOR 使用java.io.File.separator比java.io.File.System.getProperty("file.separator")更安全，因为第二种方法，a可以通过调用 System.setProperty(String key, String value) 或使用命令行参数 -Dfile.separator=/.

来覆盖分隔符

(3) FILE_NAME

使用java.io.File.getName()提取文件名。例如“../../tmp/../../%00....xyz.txt”将变为“%00....xyz.txt”
使用白名单允许使用好的字符（从文件名中过滤掉 %00....）。
检查 java.util.regex package for details. Important thing is to use the correct pattern. The best/clearest RegEx lesson is by Oracle Regular Expression. The best testing site is RegEx Planet (you need to refresh page for each test, or the output may not be correct). I installed RegexpTester plugin 并在 IntelliJ 中运行良好 15.X IDE.
OWASP ESAPI 文件名模式 =“^[a-zA-Z0-9.\-_]{0,255}$”

Answer 2

如果你做对了，fortify 数据流分析器将沿着你的数据路径进行跟踪，查看一些预期的函数（i.e.getCanonicalPath()、pattern.matcher() 等）并触发接收规则生成 TAINFLAG=VALIDATED_PATH_MANIPULATION。然后数据流分析器看到这个特定的 TAINTFLAG，它会关闭问题报告。这个过程是有意设计的。如果您实现了函数 FortifyFileWriteAllText()，而 Fortify 仍然抱怨，可能是因为 fortify 不喜欢您正在使用的方法。

如果您认为函数 FortifyFileWriteAllText() 确实阻止了 PM，这里是为您创建 VALIDATED_PATH_MANIPULATION 污点标志的自定义接收器规则。放到~FORTIFY_HOME/Core/config/rules目录下使用。

<?xml version="1.0" encoding="UTF-8"?>
<RulePack xmlns="xmlns://www.fortifysoftware.com/schema/rules">
    <RulePackID>YOUR RULE PACK ANME HERE</RulePackID>
    <SKU>SKU-ANY THING HERE</SKU>
    <Name><![CDATA[ANY THING HERE]]></Name>
    <Version>1.0</Version>
    <Description><![CDATA[]]></Description>
    <Rules version="6.31">
        <RuleDefinitions>
            <DataflowSinkRule formatVersion="6.31" language="java">
                <MetaInfo>
                    <Group name="MyCompany">Path Manipulation Remediation</Group>
                    <Group name="Accuracy">4</Group>
                    <Group name="Impact">3</Group>
                    <Group name="RemediationEffort">3</Group>
                    <Group name="Probability">4</Group>
                    <Group name="audience">targeted,medium,broad,dev,fod</Group>
                </MetaInfo>
                <RuleID>put-your-rule-id here-with-prefix-for-future-statistics</RuleID>
                <VulnKingdom>Input Validation and Representation</VulnKingdom>
                <VulnCategory>Path Manipulation</VulnCategory>
                <DefaultSeverity>3.0</DefaultSeverity>
                <Description ref="desc.dataflow.java.path_manipulation">
                    <Explanation append="true"><![CDATA[This issue is being reported by "your rule name here".]]></Explanation>
                </Description>
                <Sink>
                    <InArguments>this</InArguments>
                    <Conditional>
                        <Not>
                            <TaintFlagSet taintFlag="VALIDATED_PATH_MANIPULATION"/>
                        </Not>
                    </Conditional>
                </Sink>
                <FunctionIdentifier>
                    <NamespaceName>
                        <Pattern>com.yourpackage</Pattern>
                    </NamespaceName>
                    <ClassName>
                        <Pattern>yourclass</Pattern>
                    </ClassName>
                    <FunctionName>
                        <Pattern>FortifyFileWriteAllText</Pattern>
                    </FunctionName>
                    <ApplyTo implements="true" overrides="true" extends="true"/>
                </FunctionIdentifier>
            </DataflowSinkRule>
        </RuleDefinitions>
    </Rules>
</RulePack>

HP Fortify 路径操作验证规则

HP Fortify Validation Rules on Path Manipulation

c#

validation

rules

fortify