【缺陷周话】第50期:日志伪造

阅读量    59808 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

1、日志伪造

当日志条目包含未经过授权的用户输入时,会造成日志伪造。攻击者可以通过向应用程序提供包含特殊字符的内容,在日志文件中插入错误的条目。当日志文件自动处理时会将恶意条目写入日志文件,错误的日志条目会破坏文件格式,可以由此掩盖攻击者的入侵轨迹。或者通过回车符和换行符构造输入,将合法的日志条目进行拆分。本文以JAVA语言源代码为例,分析“日志伪造”缺陷产生的原因以及修复方法。该缺陷的详细介绍请参见CWE ID 117: Improper Output Neutralization for Logs (http://cwe.mitre.org/data/definitions/117.html)。

 

2、日志伪造的危害

利用该漏洞可以跨越信任边界获取敏感数据,攻击者将脚本注入日志文件,在使用 Web 浏览器查看文件时,浏览器可以向攻击者提供管理员 Cookie 的副本,从而获得管理员的访问权限。

 

3、示例代码

3.1 缺陷代码

上述代码是根据用户登录状态进行判断并记录日志。在代码行第29行调用父类的 doGet() 方法,第30、31行获取请求参数 username 和 password。在第32~36行判断用户名密码是否正确,并输出相应的日志信息。当用户名输入合法时会正确记录日志。
例如:
INFO:User login succeeded for jack 或 INFO:User login failed for jack
当用户提供的字符串为:
jack%0a%0aINFO:+User+login+succeeded +for+tom
在日志记录中会记录下列条目:
INFO: User login failed for jack
INFO: User login succeeded for tom
此时在日志文件中产生了两条日志记录。使用代码卫士对上述示例代码进行检测,可以检出“日志伪造”缺陷,显示等级为中,从跟踪路径中可以分析出数据的污染源以及数据流向。在代码行第34、36行报出缺陷,如图1、图2所示:

图1:日志伪造检测示例

图2:日志伪造检测示例

3.2 修复代码

在上述修复代码中,在第33行调用 org.apache.commons.lang 包下 StringEscapeUtils 类的静态方法 escapeJavaScript(),该方法使用 JavaScript 字符串规则进行字符转义。

使用代码卫士对修复后的代码进行检测,可以看到已不存在“日志伪造”缺陷。如图3所示:

图3:修复后检测结果

 

4、如何避免日志伪造

避免日志伪造可在程序输入和输出分别进行控制,假设所有输入都是恶意的,拒绝任何不严格符合规范的输入,严格校验字段相关属性,包括长度、输入类型、接受值的范围等,或将其转换为具有相应规格的输入。在日志输出时指定输出编码格式,若未指定编码格式,在输出时不同编码格式下的某些字符可能被视为特殊字符。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多