modo sicuro per creare relativa java.io.File

Question

Come posso creare un java.io.File relativa alle una cartella principale in modo sicuro, vale a dire prevenire un malintenzionato di rompere fuori dalla cartella principale.

Esempio:

String path = request.getParameter("path"); 
    File file = new File(folder, path); 

questo è non protetta dal momento che l'attaccante mi potrebbe inviare un ../../../etc/passwd come path.

Come si "pulisce" un percorso simile?

Answer 1

Dopo aver letto le altre risposte, mi si avvicinò con questa soluzione:

public static boolean isParent(File parent, File file) { 

    File f; 
    try { 
     parent = parent.getCanonicalFile(); 

     f = file.getCanonicalFile(); 
    } catch(IOException e) { 
     return false; 
    } 

    while(f != null) { 
     // equals() only works for paths that are normalized, hence the need for 
     // getCanonicalFile() above. "a" isn't equal to "./a", for example. 
     if(parent.equals(f)) { 
      return true; 
     } 

     f = f.getParentFile(); 
    } 

    return false; 
} 

Quindi l'utilizzo sarebbe:

File file = new File(folder, path); 
if(! isParent(folder, file)) { 
    ... deny access ... 
} 

Il codice sopra probabilmente non è molto veloce ma tutte le altre soluzioni hanno problemi di sicurezza:

• Posso rimuovere /../|^../|/..$ ma non funzionerebbe su Windows. Per Windows, il modello sarebbe diventato più complesso e non dimenticate che Java accetta / come separatore di file in Windows (sì, C:/Windows/ è valido e lo stesso significato di C:\Windows\)

  Inoltre, il percorso a/../b/c è valida dal momento che doesn Rompere il confine, quindi basta rimuovere i movimenti relativi non è abbastanza buono.

• È possibile creare due stringhe utilizzando getCanonicalPath() e verificare che il percorso parent sia un prefisso file. Ma poi, dovrei assicurarmi che il carattere dopo il percorso genitore sia un separatore di file (vedi sopra perché File.SEPARATOR non è abbastanza).

Answer 2

Una soluzione sarebbe quella di non consentire nulla che inizi con / o ... Ma Immagino che il modo "sicuro/corretto" sia eseguire l'applicazione con un gestore della sicurezza (JVM) abilitato e non consentire l'accesso ai file al di fuori della configurazione predefinita. Ma abilitare un gestore della sicurezza richiede un po 'di lavoro nel trovare tutte le autorizzazioni necessarie per poter eseguire l'applicazione tour.

I permiss del file OS sono anche importanti, ovviamente.

Modifica

Aggiunto un esempio, come richiesto. Esempio è da un progetto corrente distribuito in Tomcat:

grant codeBase "file:${catalina.base}/webapps/mywebapp/-" { 
    permission java.io.FilePermission "path/to/folder", "read"; // Anything else will be disallowed 
    // Other required permissions 
} 

Answer 3

String path = "../../../etc/passwd"; 
    String pureFilename = (new File(path)).getName(); 
    File file = new File(folder, pureFilename); 

Answer 4

boolean isChild(File parent, File child) throws IOException { 
    String parentCanonicalPath = parent.getCanonicalPath(); 
    String childCanonicalPath = child.getCanonicalPath(); 
    return childCanonicalPath.startsWith(parentCanonicalPath); 
}