đăng nhập rèn củng cố sửa chữa

Question

Tôi đang sử dụng Fortify SCA để tìm các vấn đề bảo mật trong đơn đăng ký của tôi (dưới dạng bài tập về nhà ở đại học). Tôi đã gặp phải một số vấn đề 'Đăng nhập' mà tôi không thể thoát khỏi.

Về cơ bản, tôi đăng nhập một số giá trị mà đến như là người dùng nhập vào từ một giao diện web:

logger.warn("current id not valid - " + bean.getRecordId())); 

và Fortify báo cáo này như một khúc gỗ rèn vấn đề, bởi vì getRecordId() trả về một đầu vào người dùng.

Tôi đã theo article này, và tôi thay thế 'dòng mới' với không gian, nhưng vấn đề này vẫn báo cáo

logger.warn("current id not valid - " + Util.replaceNewLine(bean.getRecordId())); 

bất cứ ai có thể đề xuất một cách để khắc phục vấn đề này?

Answer 1

Alina, tôi thực sự là tác giả của bài viết bạn đã sử dụng để giải quyết sự cố đăng nhập của bạn. Hy vọng nó là hữu ích.

Vitaly là chính xác liên quan đến Fortify. Bạn sẽ cần phải xây dựng những gì Fortify gọi là "quy tắc tùy chỉnh".

Nó có thể sẽ là quy tắc làm sạch luồng dữ liệu. Một ví dụ cơ bản có thể được tìm thấy ở đây: http://www.cigital.com/newsletter/2009-11-tips.php. Nếu bạn sở hữu Fortify, sẽ có hướng dẫn viết quy tắc tùy chỉnh trong tài liệu sản phẩm của bạn.

Tôi không biết lá cờ taint bạn sẽ sử dụng là gì, nhưng nó trông giống như "-LOG_FORGING". Bạn về cơ bản sẽ viết một quy tắc để loại bỏ việc đăng nhập giả mạo "taint" bất cứ khi nào dữ liệu được truyền qua phương thức tiện ích của bạn. Củng cố họ sẽ giả định rằng bất kỳ dữ liệu nào được truyền qua đều an toàn để được ghi vào nhật ký và sẽ không gây ra việc ghi nhật ký.

Answer 2

Bạn cần đánh dấu thay thế của mìnhNewLine là sanitiser trong Fortify (nếu tôi nhớ chính xác) và nó sẽ ngừng báo cáo sự cố.

Answer 3

Tôi biết điều này đã được trả lời, nhưng tôi nghĩ một ví dụ sẽ được tốt đẹp :)

<?xml version="1.0" encoding="UTF-8"?> 
<RulePack xmlns="xmlns://www.fortifysoftware.com/schema/rules"> 
    <RulePackID>D82118B1-BBAE-4047-9066-5FC821E16456</RulePackID> 
    <SKU>SKU-Validated-Log-Forging</SKU> 
    <Name><![CDATA[Validated-Log-Forging]]></Name> 
    <Version>1.0</Version> 
    <Description><![CDATA[Validated-Log-Forging]]></Description> 
    <Rules version="3.14"> 
    <RuleDefinitions> 
     <DataflowCleanseRule formatVersion="3.14" language="java"> 
     <RuleID>DDAB5D73-8CF6-45E0-888C-EEEFBEFF2CD5</RuleID> 
     <TaintFlags>+VALIDATED_LOG_FORGING</TaintFlags> 
     <FunctionIdentifier> 
      <NamespaceName> 
      <Pattern/> 
      </NamespaceName> 
      <ClassName> 
      <Pattern>Util</Pattern> 
      </ClassName> 
      <FunctionName> 
      <Pattern>replaceNewLine</Pattern> 
      </FunctionName> 
      <ApplyTo implements="true" overrides="true" extends="true"/> 
     </FunctionIdentifier> 
     <OutArguments>return</OutArguments> 
     </DataflowCleanseRule> 
    </RuleDefinitions> 
    </Rules> 
</RulePack>