Qual è il modo migliore per difendersi da un attacco di attraversamento del percorso?

Question

Ho un'implementazione del server Java (TFTP se è importante per voi) e mi piacerebbe assicurarmi che non sia suscettibile agli attacchi di traversal path che consentono l'accesso a file e posizioni che non dovrebbero essere disponibili.

Il mio miglior tentativo di difendere finora è quello di respingere tutte le voci che corrispondono File.isAbsolute() e poi si basano su File.getCanonicalPath() per risolvere eventuali componenti ../ e ./ fuori del percorso. Infine ho assicurarsi che il percorso risultante è ancora all'interno della directory principale richiesta del mio server:

public String sanitize(final File dir, final String entry) throws IOException { 
    if (entry.length() == 0) { 
     throw new PathTraversalException(entry); 
    } 

    if (new File(entry).isAbsolute()) { 
     throw new PathTraversalException(entry); 
    } 

    final String canonicalDirPath = dir.getCanonicalPath() + File.separator; 
    final String canonicalEntryPath = new File(dir, entry).getCanonicalPath(); 

    if (!canonicalEntryPath.startsWith(canonicalDirPath)) { 
     throw new PathTraversalException(entry); 
    } 

    return canonicalEntryPath.substring(canonicalDirPath.length()); 
} 

ci sono problemi di sicurezza che questo manca? È meglio/più veloce ottenere lo stesso risultato in modo affidabile?

Il codice deve funzionare in modo coerente su Windows e Linux.

Answer 1

Se si sta eseguendo questo su una macchina Unix (non sono sicuro che Windows abbia qualcosa di simile, ma potrebbe) si vorrà guardare a chroot. Anche se pensi di colpire tutti i modi con cui qualcuno può fare riferimento a poche directory, è bello avere il sistema operativo che sta facendo rispettare il fatto.

(il chroot fa sì che "/" faccia riferimento ad un'altra directory, quindi "/" potrebbe essere "/ home/me/progetto" e "/../../ .." è ancora "/ home/me/progetto")

EDIT:.

C'è una chiamata di sistema chroot così come uno strumento da riga di comando chroot. Non so se Java ha un metodo nativo, ma nulla ti impedirebbe di eseguire il tuo server con lo strumento da riga di comando. Questo dovrebbe, naturalmente, essere oltre a fare del tuo meglio per prevenire altre manipolazioni del percorso.

Answer 2

È possibile controllare i caratteri consentiti nei nomi file (http://en.wikipedia.org/wiki/Filename) e filtrare tutti i caratteri non consentiti (elenco in bianco) e quindi si può essere sicuri di avere un nome file lì.

Answer 3

Quanto segue può aiutare. Confronta i percorsi canonici e assoluti e, se differiscono, fallirà. Solo testato su un sistema mac/linux (cioè senza finestre).

Questo è il caso in cui si desidera consentire all'utente di fornire un percorso relativo, non un percorso assoluto e non è consentito alcun riferimento alla directory padre.

public void failIfDirectoryTraversal(String relativePath) 
{ 
    File file = new File(relativePath); 

    if (file.isAbsolute()) 
    { 
     throw new RuntimeException("Directory traversal attempt - absolute path not allowed"); 
    } 

    String pathUsingCanonical; 
    String pathUsingAbsolute; 
    try 
    { 
     pathUsingCanonical = file.getCanonicalPath(); 
     pathUsingAbsolute = file.getAbsolutePath(); 
    } 
    catch (IOException e) 
    { 
     throw new RuntimeException("Directory traversal attempt?", e); 
    } 


    // Require the absolute path and canonicalized path match. 
    // This is done to avoid directory traversal 
    // attacks, e.g. "1/../2/" 
    if (! pathUsingCanonical.equals(pathUsingAbsolute)) 
    { 
     throw new RuntimeException("Directory traversal attempt?"); 
    } 
}