Fortify安全漏洞一般處理方法

来源:https://www.cnblogs.com/wxdongtt2007/archive/2019/09/14/11519430.html
-Advertisement-
Play Games

前段時間公司又一輪安全審查，要求對各項目進行安全掃描，排查漏洞並修複，手上有幾個歷史項目，要求在限定的時間內全部修複並提交安全報告，也不清楚之前是如何做的漏洞修複，這次使用工具掃描出來平均每個項目都還有大概100來個漏洞。這些漏洞包括SQL語句註入，C#後端代碼，XML文件，以及前端HTML,JS代 ...


        前段時間公司又一輪安全審查，要求對各項目進行安全掃描，排查漏洞並修複，手上有幾個歷史項目，要求在限定的時間內全部修複並提交安全報告，也不清楚之前是如何做的漏洞修複，這次使用工具掃描出來平均每個項目都還有大概100來個漏洞。這些漏洞包括SQL語句註入，C#後端代碼，XML文件，以及前端HTML,JS代碼幾個方面，由於一些項目比較老舊，限定的時間又短，做大的改動如果測試不到位，很難保證不出什麼問題,所以做了一些應及處理，不過這些都不失為一種手段，下麵就來對這次安全漏洞的處理做個總結。

        公司的漏洞掃描分為兩個階段，第一個階段是用Fortify這個工具來掃描，檢查出漏洞，修複並出報告，第二個階段是用APPSCAN對線上代碼掃描，我們先來說說第一個階段Fortify工具掃描出來的漏洞如何處理，至於第二階段，後期做了再來補上。

1.SQL註入

         這一類漏洞主要是針對一些SQL語句做動態拼接時，傳入一個特殊的非法字元，如 SELECT id,name FROM User WHERE deparment=1000 and  {ConditionalExpression}  其中  {ConditionalExpression} 作為參數本想在查詢頁面做一些動態條件的拼接，這樣就會帶來SQL註入的風險，如果有人通過手段將 {ConditionalExpression} 參數的值 改成這樣呢 1=1  OR 2 >1  又或者 1=1  ; drop table deparment 呢這就是一個重大的安全事故了。

載SQL註入一般可以從這幾方面預防：

     1.系統中連接資料庫的帳號分配合適的許可權，一般業務系統中資料庫操作帳號，不要分配對數庫結構產生改變的許可權如 CREATE TABLE ,DROP XXXX 等

     2.對複雜的查詢使用存儲過程，預先定義好參數，在存儲過程中拼接SQL語句

     3.儘量使用例如 SqlParmater 參數化傳值使之成為規範

     4.對SQL語句或參數的值做特殊關鍵詞過濾

     5.使用如MyBATIS，Hibernate ，等支持 SQL MAPPER 的 ORM框架 

     6.儘量避免SQL語句動態拼接 或用動態LINQ 替代

     公司的項目大部分都用的MyBatis ORM框架做Mapper 映射，這次漏洞掃描 SQL註入方面還好，基本沒有在代碼中拼接SQL的，但有一點有個別幾處代碼 用的是ADO.NET 讀寫資料庫，其中在實例化Connection 對象的地方掃描出connectString 未做加密處理。後面改用項目中現有的資料庫操作類庫來操作就沒再報漏洞了。

2.Path Manipulation 路徑篡改

        這次在安全漏洞篩查和處理過程中出現最多的就是 Path Manipulation 路徑篡改，手上幾個項目中其中就有兩個項目用到靜態頁面生成，涉及到大量的文件操作，如果不做處理會報很多漏洞。首先來說說我對Path Manipulation 漏洞的認識：通過代碼對系統上文件的操作如果不設置白名單，黑名單的過濾檢查，是一種安全隱患，比如某個公共方法中用到了，System.IO.File.Delete(path)  .NET 提供的文件刪除這個方法，path是通過參數傳遞的，如果不做檢查，在一些調用的地方，被人改成了系統某個關鍵文件，可能直接系統崩潰，這就是一個天大的事情了。

對此類漏洞的修複措施一般做法如下：

      1.設置白名單或黑名單

通常做法是設置白名單，危險不可枚舉，我們可以認為哪些是安全的，把它們列入允許操作的清單

     2.設置文件夾安全許可權

只對允許操作的文件夾設置讀寫許可權。切不可將整個站點關件夾許可權設置可寫

處理Path Manipulation 路徑篡改 漏洞的.Net 示例代碼：

 private static  Dictionary<string,string> CreateFortifyDictionary()
        {
            Dictionary<string, string> fortifyDictionary = new Dictionary<string, string>();

            for(char c1 = 'a'; c1 <= 'z'; c1++)
            {
                fortifyDictionary.Add(c1.ToString(), c1.ToString());
            }

            for (char c2 = 'A'; c2 <= 'Z'; c2++)
            {
                fortifyDictionary.Add(c2.ToString(), c2.ToString());
            }

            for (int c3 = 0; c3 < 10; c3++)
            {
                fortifyDictionary.Add(c3.ToString(), c3.ToString());
            }

            fortifyDictionary.Add(".", ".");
            fortifyDictionary.Add(":", ":");
            fortifyDictionary.Add("/", "/");            
            fortifyDictionary.Add(Separator, Separator);

            return fortifyDictionary;
        }

        public static string SecurityPathFilter(string path)
        {
            path = path.ToLower();
            path = path.Replace("c:"+ Separator + "windows", "");
            path = path.Replace("c:" + Separator + "program files", "");
            path = path.Replace("c:" + Separator + "", "");

            char[] characters = path.ToCharArray();
            StringBuilder resultStringBuilder = new StringBuilder();
            var dictionary = CreateFortifyDictionary();
            
            foreach (Char character in characters)
            {
                string value = string.Empty;
                if (dictionary.TryGetValue(character.ToString(), out value))
                {
                    resultStringBuilder.Append(value);
                }
            }
            return resultStringBuilder.ToString();
        }

3.Cross-site Scripting:Persistent 跨站腳本攻擊

        引用 XSS 的定義：傳送到 Web 瀏覽器的惡意內容通常採用 JavaScript 代碼片段的形式，但也可能會包含一些 HTML、Flash 或者其他任意一種可以被瀏覽器執行的代碼。基於 XSS 的攻擊手段花樣百出，幾乎是無窮無盡的，但通常它們都會包含傳輸給攻擊者的私人數據（如 Cookie 或者其他會話信息）。在攻擊者的控制下，指引受害者進入惡意的網路內容；或者利用易受攻擊的站點，對用戶的機器進行其他惡意操作。大致意思是說 由於頁面在接收參數的過程中，沒有進行參數的校驗，可能存在 參數中存在可執行代碼的漏洞。

處理辦法一般是對參數進行轉義加碼 .NET中 引用System.Web.HttpUtility.DLL 程式集，調用下麵方法：

string str= System.Web.HttpUtility.HtmlEncode(html)

用到的地方需要 反轉義解碼：

string html= System.Web.HttpUtility.HtmlDecode(str);

4.System Information Leak 系統信息泄露

        顧名思義就是系統的內部信息在泄漏了，給系統帶來安全隱患，什麼意思呢？下麵是摘抄的一段話：

當系統數據或調試信息通過套接字或網路連接使程式流向遠程機器時，就會發生外部信息泄露。外部信息泄露會暴露有關操作系統、完整路徑名、現有用戶名或配置文件位置的特定數據，從而使攻擊者有機可乘，它比內部信息（攻擊者更難訪問）泄露更嚴重

就是我們系統的調試信息和異常捕獲信息不能暴露出來，比如這段代碼Fortify 直接會檢測出漏洞。

 try
 {
     //
 }
 catch(Exception ex)
 {                
     System.Console.WriteLine(ex.Message);
 }

我們或可改成這樣來解決

try
{
     //
}
catch(Exception ex)
{
     //System.Console.WriteLine(ex.Message);
     logger.Logger("系統異常："+ex.Message,ex);
}

錯誤信息不應直接拋給終端，交由日誌去記錄。

引申一下在系統信息泄露這方面一般採用措施：

    1.IIS上發佈站點時關閉Debug 遠程調試模式

    2.定義錯誤頁面規範錯誤提示信息

    3.自定義客戶端異常信息類，消化內部異常信息，記錄日誌，過濾處理後拋給客戶端允許可到的異常信息

參考如下示例：

  <compilation debug="false" />   
    <customErrors defaultRedirect="GenericError.htm"
       mode="RemoteOnly" xdt:Transform="Replace">
      <error statusCode="500" redirect="InternalError.htm"/>
      <error statusCode="403" redirect="NoAccess.htm" />
      <error statusCode="404" redirect="FileNotFound.htm" />
    </customErrors>

其中mode 說明如下:

     1. On 表示在本地和遠程用戶都會看到自定義錯誤信息。
     2. Off 禁用自定義錯誤信息，本地和遠程用戶都會看到詳細的錯誤信息。
     3. RemoteOnly 表示本地用戶將看到詳細錯誤信息，而遠程用戶將會看到自定義錯誤信息

string message = "";
try
{
     //
}
catch(WTSError ee)
{
     //
     message = ee.OutMessage;
     logger.Logger("系統異常：" + ee.Message, ee);
}
catch(Exception ex)
{
     message = "系統異常,錯誤類型未知";
     //System.Console.WriteLine(ex.Message);
     logger.Logger("系統異常："+ex.Message,ex);
}

5. Non-Serializable Object Stored in Session 寫入Session 的對象不可被序列化

        這次安全描過程中也報了很多這類漏洞，不清楚寫入Session 會話中的對象為什麼都要可被序列化，“在session中保存的對象最好是序列化，不然很容易導致類轉換的時候發生異常”這是我找到最簡短的回答，根據我的理解大概是，Session對象在存儲和讀取的時候會自動序列化和反序列化，對於非類似於 Int,String等非一般數據類型複雜的數據結構對象存儲和讀取屬性和狀態時數據轉換容易出錯。

對於這類問題的處理可以參考如下：

例如下麵這段會報漏洞的代碼：

Session["UserToken"] = "sessionObjectValue";

可以自定義一個Session存儲對象，標為可序例化，並實現ISerializable 介面 

 [Serializable]
    public class SessionObject : ISerializable
    {
        [OptionalField]
        private string data;

        public string Data
        {
            get { return data; }
            set { data = value; }
        }

        public SessionObject(string data)
        {
            this.data = data;
        }

        public void GetObjectData(SerializationInfo info, StreamingContext context)
        {
            info.AddValue("Data", data);
            Type basetype = this.GetType().BaseType;
            MemberInfo[] mi = FormatterServices.GetSerializableMembers(basetype, context);
            for (int i = 0; i < mi.Length; i++)
            {
                //由於AddValue不能添加重名值，為了避免子類變數名與基類變數名相同，將基類序列化的變數名加上基類類名
                info.AddValue(basetype.FullName + "+" + mi[i].Name, ((FieldInfo)mi[i]).GetValue(this));
            }

        }

    }

然後在Session寫入和讀取時寫成這樣

1 //Session["UserToken"] = new SessionObject("sessionObjectValue");
2  Session["UserToken"] = new SessionObject("sessionObjectValue");
3 
4  //string sessionObjectValue = Session["UserToken"].ToString();
5  string sessionObjectValue = ((SessionObject)Session["UserToken"]).Data;

6.File Separator  文件分割符

       不可避免描述中也出現了這些漏洞，一般在Window環境下，不會出現這類漏洞帶來的問題，如果你的系統可以要佈署在Linux或Unix 環境下就有可能出現Bug了，這類問題是指在不同操作系統環境下文件路徑的分割符號不一樣。如果這樣一個路徑：“C:\tmp\test.txt” Windows 環境是：“C:\tmp\test.txt ” Linux 環境是："/tmp/test.txt" 為了兼顧不同操作系統環境建議使用 System.IO.Path.DirectorySeparatorChar 對象對於上面的路徑這樣組合：

"C:" + System.IO.Path.DirectorySeparatorChar + "tmp" + System.IO.Path.DirectorySeparatorChar + "test.txt"

類似的還有換行符：windows 下是 \r\n  Linux 等其它系統下是 \n 在.NET 中使用 System.Environment.NewLine 對象。

7.Insecure Randomness 安全隨機數

       引用網路上的解釋：

       不安全的隨機數：電腦是一種具有確定性的機器，因此不可能產生真正的隨機性。偽隨機數生成器 (PRNG) 近似於隨機演算法，始於一個能計算後續數值的種子。
PRNG 包括兩種類型：統計學的 PRNG 和密碼學的 PRNG。統計學的 PRNG 可提供有用的統計資料，但其輸出結果很容易預測，因此數據流容易複製。若安全性取決於生成數值的不可預測性，則此類型不適用。密碼學的 PRNG 通過可產生較難預測的輸出結果來應對這一問題。為了使加密數值更為安全，必須使攻擊者根本無法、或極不可能將它與真實的隨機數加以區分。通常情況下，如果並未聲明 PRNG 演算法帶有加密保護，那麼它有可能就是一個統計學的 PRNG，不應在對安全性要求較高的環境中使用，其中隨著它的使用可能會導致嚴重的漏洞（如易於猜測的密碼、可預測的加密密鑰、會話劫持攻擊和 DNS 欺騙）。

       就是我們一般使用的隨機函數並不是真正的隨機產生，具有一定的可推測性，可能帶來一些安全性問題，說實話此類問題不好處理涉及到密碼學。如果感興趣話可找找這方面的資料也可以先看看這篇文章 https://www.cnblogs.com/asxinyu/p/4301554.html，個人認為一般系統可以用GUID 的方案。

       以上就是這次Fortify 安全掃描中遇到的幾種漏洞類型，通過上述的方法基本都已解決。記得其中還遇到一個獲取電腦域帳號調用C++ 類庫方法非安全代碼執行漏洞，還好找到另一種不用調用C++類庫的方法去替換，如果避免不了要調用C++類庫里的方法，如果報此類漏洞不知能有什麼好的辦法來處理，希望有這方面經驗的園友不吝告之。

本文參考和引用的地址如下：

1. https://www.cnblogs.com/eyesmoon/p/7421477.html  Fortify掃描漏洞解決方案 

2. https://blog.csdn.net/abcxy12336/article/details/52335490  針對Fortify工具掃描出幾大漏洞的解決辦法總結--1

3. https://www.cnblogs.com/asxinyu/p/4301554.html  開源Math.NET基礎數學類庫使用(14)C#生成安全的隨機數


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • for迴圈，數字、字元串和列表內置方法
    [TOC] 控制流程之for迴圈 基本語法 while可以迴圈一切事物 for 迴圈提供了一種手段，不依賴索引取值 for+break for+continue for+else for迴圈不被break終止就執行else後面的代碼，否則就不執行 for迴圈列印lodaing 數字類型內置方法 整型 ...
  • QRowTable表格控制項(五)-重寫表頭排序、支持第三次單擊恢復預設排序
    [TOC] 原文鏈接： "QRowTable表格控制項(五) 重寫表頭排序、支持第三次單擊恢復預設排序" 一、原生表格 開發客戶端程式的方式月來源多了，現在很流行的libcef、electron等等都可以作為快速開發客戶端軟體的方案，但是如果需要一個號的用戶體驗，還是離不開原生化的開發，雖然慢，但是性 ...
  • SpringCloud超簡單的入門(1)--一些簡單的介紹
    簡介 簡單來說，springcloud的就是由一組springboot應用(服務)組成，相互之間通過REST等方式進行通信。 兩個springboot應用，其中一個作為服務提供者，一個作為服務消費者，我認為這就構成了一個最簡單的springcloud應用，之後其他的工具都是為這兩個應用來服務的。 我 ...
  • Python資料庫小程式
    源代碼：# dict1 是 字典 ， 用來對應相應元素的下標，我們將文件轉成列表，對應的也就是文件的下標，通過下標來找文件元素dict1 = {'sort':0 , 'name':1 ,'age':2 ,'phone':3 ,'job':4 }#將最後需要列印的信息轉成列表的形式def p_mess ...
  • PlayJava Day019
    今日所學： /* 2019.08.19開始學習，此為補檔。 */ 1.this： ①this是成員方法的一個特殊的固有的本地變數，它表達了調用這個方法的那個對象。 ②在成員方法內部直接調用自己（this）的其他方法。 2.本地（局部）變數： ①定義在方法內部的變數是本地變數。 ②本地變數的生存期和作 ...
  • C# 表達式樹講解（一）
    一、前言 一直想寫一篇Dpper的定製化擴展的文章，但是裡面會設計到對Lambda表達式的解析，而解析Lambda表達式，就必須要知道表達式樹的相關知識點。我希望能通過對各個模塊的知識點或者運用能夠多一點的講解，能夠幫助到園友瞭解得更多。雖然講解得不全面，如果能成為打開這塊的一把鑰匙，也是蝸牛比較欣 ...
  • C#委托(delegate、Action、Func、predicate)和事件
    一、前言 剛開始工作的時候，覺得委托和事件有些神秘，而當你理解他們之後，也覺得好像沒有想象中的那麼難。在項目中運用委托和事件，你會發現他非常棒，這篇博文算是自己對委托和事件的一次梳理和總結。 二、委托 C#中的委托，相當於C++中的指針函數，但委托是面向對象的，是安全的，是一個特殊的類，當然他也是引 ...
  • 認證方案之初步認識JWT
    前言： 現在越來越多的項目或多或少會用到JWT，為什麼會出現使用JWT這樣的場景的呢？ 假設現在有一個APP，後臺是分散式系統。APP的首頁模塊部署在上海機房的伺服器上，子頁面模塊部署在深圳機房的伺服器上。此時你從首頁登錄了該APP，然後跳轉到子頁面模塊。session在兩個機房之間不能同步，用戶是 ...
一周排行
    -Advertisement-
    Play Games
  • C# + WPF 音頻播放器 界面優雅，體驗良好
    前言 本文介紹一款使用 C# 與 WPF 開發的音頻播放器，其界面簡潔大方，操作體驗流暢。該播放器支持多種音頻格式（如 MP4、WMA、OGG、FLAC 等），並具備標記、實時歌詞顯示等功能。 另外，還支持換膚及多語言（中英文）切換。核心音頻處理採用 FFmpeg 組件，獲得了廣泛認可，目前 Git ...
  • OAuth2.0授權-gitee授權碼模式
    OAuth2.0授權驗證-gitee授權碼模式 本文主要介紹如何筆者自己是如何使用gitee提供的OAuth2.0協議完成授權驗證並登錄到自己的系統，完整模式如圖 1、創建應用 打開gitee個人中心->第三方應用->創建應用 創建應用後在我的應用界面，查看已創建應用的Client ID和Clien ...
  • FastReport.OpenSource .Net下開源免費報表列印組件
    解決了這個問題：《winForm下，fastReport.net 從.net framework 升級到.net5遇到的錯誤“Operation is not supported on this platform.”》 本文內容轉載自：https://www.fcnsoft.com/Home/Sho ...
  • 如何在 ASP.NET Core Web API 方法執行前後 “偷偷“ 作一些 “壞“ 事？初識 ActionFilterAttribute
    國內文章 WPF 從裸 Win 32 的 WM_Pointer 消息獲取觸摸點繪製筆跡 https://www.cnblogs.com/lindexi/p/18390983 本文將告訴大家如何在 WPF 裡面，接收裸 Win 32 的 WM_Pointer 消息，從消息裡面獲取觸摸點信息，使用觸摸點 ...
  • 在 ASP.NET Core Web API 中使用異常篩選器捕獲和統一處理異常
    前言 給大家推薦一個專為新零售快消行業打造了一套高效的進銷存管理系統。 系統不僅具備強大的庫存管理功能，還集成了高性能的輕量級 POS 解決方案，確保頁面載入速度極快，提供良好的用戶體驗。 項目介紹 Dorisoy.POS 是一款基於 .NET 7 和 Angular 4 開發的新零售快消進銷存管理 ...
  • AbpHelper CLI積累與實戰分享
    ABP CLI常用的代碼分享 一、確保環境配置正確 安裝.NET CLI： ABP CLI是基於.NET Core或.NET 5/6/7等更高版本構建的，因此首先需要在你的開發環境中安裝.NET CLI。這可以通過訪問Microsoft官網下載並安裝相應版本的.NET SDK來實現。 安裝ABP ...
  • 記一次HttpClient使用問題分析
    問題 問題是這樣的：第三方的webapi，需要先調用登陸介面獲取Cookie，訪問其它介面時攜帶Cookie信息。 但使用HttpClient類調用登陸介面，返回的Headers中沒有找到Cookie信息。 分析 首先，使用Postman測試該登陸介面，正常返回Cookie信息，說明是HttpCli ...
  • .NET周刊【9月第3期 2024-09-15】
    國內文章 關於.NET在中國為什麼工資低的分析 https://www.cnblogs.com/thinkingmore/p/18406244 .NET在中國開發者的薪資偏低，主要因市場需求、技術棧選擇和企業文化等因素所致。歷史上，.NET曾因微軟的閉源策略發展受限，儘管後來推出了跨平臺的.NET ...
  • 我的網站集成ElasticSearch初體驗
    在WPF開發應用中，動畫不僅可以引起用戶的註意與興趣，而且還使軟體更加便於使用。前面幾篇文章講解了畫筆（Brush），形狀（Shape），幾何圖形（Geometry），變換（Transform）等相關內容，今天繼續講解動畫相關內容和知識點，僅供學習分享使用，如有不足之處，還請指正。 ...
  • 第23篇 委托的概述
    什麼是委托？ 委托可以說是把一個方法代入另一個方法執行，相當於指向函數的指針；事件就相當於保存委托的數組； 1.實例化委托的方式： 方式1：通過new創建實例： public delegate void ShowDelegate(); 或者 public delegate string ShowDe ...
所有分類