CA3003: Zkontrolujte ohrožení zabezpečení injektáží cesty k souboru v kódu

Příčina

Potenciálně nedůvěryhodný vstup požadavku HTTP dosáhne cesty operace se souborem.

Ve výchozím nastavení toto pravidlo analyzuje celý základ kódu, ale dá se nakonfigurovat.

Popis pravidla

Při práci s nedůvěryhodným vstupem z webových požadavků mějte na paměti použití uživatelem řízeného vstupu při zadávání cest k souborům. Útočník může číst nezamýšlený soubor, což vede k zpřístupnění citlivých dat. Nebo útočník může být schopen zapisovat do nezamýšleného souboru, což vede k neoprávněné úpravě citlivých dat nebo narušení zabezpečení serveru. Běžnou technikou útočníka je procházení cest pro přístup k souborům mimo zamýšlený adresář.

Toto pravidlo se pokusí najít vstup z požadavků HTTP při dosažení cesty v operaci se souborem.

Jak opravit porušení

• Pokud je to možné, omezte cesty k souborům na základě vstupu uživatele na explicitně známý seznam bezpečných adres. Pokud například vaše aplikace potřebuje přístup jenom k "red.txt", "green.txt" nebo "blue.txt", povolte pouze tyto hodnoty.
• Zkontrolujte nedůvěryhodné názvy souborů a ověřte, že je název správně vytvořený.
• Při zadávání cest použijte úplné názvy cest.
• Vyhněte se potenciálně nebezpečným konstruktorům, jako jsou proměnné prostředí cesty.
• Přijměte pouze dlouhé názvy souborů a ověřte dlouhé jméno, pokud uživatel odešle krátké názvy.
• Omezte vstup koncového uživatele na platné znaky.
• Odmítnout názvy, u kterých je překročena délka MAX_PATH.
• Zpracovávat názvy souborů doslova bez interpretace.
• Určete, jestli název souboru představuje soubor nebo zařízení.

Kdy potlačit upozornění

Pokud jste ověřili vstup, jak je popsáno v předchozí části, můžete toto upozornění potlačit.

Konfigurace kódu pro analýzu

Pomocí následujících možností můžete nakonfigurovat, pro které části základu kódu se má toto pravidlo spouštět.

• Vyloučení konkrétních symbolů
• Vyloučení konkrétních typů a jejich odvozených typů

Tyto možnosti můžete nakonfigurovat jenom pro toto pravidlo, pro všechna pravidla, která platí, nebo pro všechna pravidla v této kategorii (zabezpečení), na která platí. Další informace naleznete v tématu Možnosti konfigurace pravidla kvality kódu.

Vyloučení konkrétních symbolů

Z analýzy můžete vyloučit konkrétní symboly, jako jsou typy a metody. Pokud chcete například určit, že pravidlo by se nemělo spouštět u žádného kódu v rámci pojmenovaných MyTypetypů, přidejte do souboru .editorconfig v projektu následující dvojici klíč-hodnota:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Povolené formáty názvů symbolů v hodnotě možnosti (oddělené ):|

• Pouze název symbolu (zahrnuje všechny symboly s názvem bez ohledu na typ nebo obor názvů).
• Plně kvalifikované názvy ve formátu ID dokumentace symbolu. Každý název symbolu vyžaduje předponu typu symbolu, například M: pro metody, T: typy a N: obory názvů.
• .ctor pro konstruktory a .cctor statické konstruktory.

Příklady:

Vyloučení konkrétních typů a jejich odvozených typů

Z analýzy můžete vyloučit konkrétní typy a jejich odvozené typy. Pokud chcete například určit, že pravidlo by se nemělo spouštět u žádné metody v rámci pojmenovaných MyType typů a jejich odvozených typů, přidejte do souboru .editorconfig v projektu následující dvojici klíč-hodnota:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Povolené formáty názvů symbolů v hodnotě možnosti (oddělené ):|

• Pouze název typu (zahrnuje všechny typy s názvem bez ohledu na typ nebo obor názvů).
• Plně kvalifikované názvy ve formátu ID dokumentace symbolu s volitelnou T: předponou.

Příklady:

Příklady pseudokódu

Porušení

using System;
using System.IO;

public partial class WebForm : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string userInput = Request.Params["UserInput"];
        // Assume the following directory structure:
        //   wwwroot\currentWebDirectory\user1.txt
        //   wwwroot\currentWebDirectory\user2.txt
        //   wwwroot\secret\allsecrets.txt
        // There is nothing wrong if the user inputs:
        //   user1.txt
        // However, if the user input is:
        //   ..\secret\allsecrets.txt
        // Then an attacker can now see all the secrets.

        // Avoid this:
        using (File.Open(userInput, FileMode.Open))
        {
            // Read a file with the name supplied by user
            // Input through request's query string and display
            // The content to the webpage.
        }
    }
}

Imports System
Imports System.IO

Partial Public Class WebForm
    Inherits System.Web.UI.Page

    Protected Sub Page_Load(sender As Object, e As EventArgs)
        Dim userInput As String = Me.Request.Params("UserInput")
        ' Assume the following directory structure:
        '   wwwroot\currentWebDirectory\user1.txt
        '   wwwroot\currentWebDirectory\user2.txt
        '   wwwroot\secret\allsecrets.txt
        ' There is nothing wrong if the user inputs:
        '   user1.txt
        ' However, if the user input is:
        '   ..\secret\allsecrets.txt
        ' Then an attacker can now see all the secrets.

        ' Avoid this:
        Using File.Open(userInput, FileMode.Open)
            ' Read a file with the name supplied by user
            ' Input through request's query string and display
            ' The content to the webpage.
        End Using
    End Sub
End Class