5

任何人都可以在以下 getCourses 方法中建议 courseType 变量所需的正确清理/验证过程。我正在使用该变量写入日志文件。

我试过 HtmlUtils.HtmlEscape() 但没有得到预期的结果。

谢谢！

@RequestMapping(value = "/retriveCourses", method = RequestMethod.GET)
@ResponseBody
public List<Course> getCourses(@RequestParam(value = "courseType", required = false) String courseType) {

}
4

2 回答 2

5

在这种情况下，Checkmarx 工具似乎是正确的。

“日志伪造”漏洞意味着攻击者可以设计安全敏感操作的日志并设置错误的审计线索，从而可能牵连无辜用户或隐藏事件。

使用htmlEscape时会转义一些特殊字符：

  • &amplt;代表<标志。
  • &ampgt;代表>标志。
  • &ampamp;代表&标志。
  • &ampquot;代表"标记。

它不会转义或删除为保持日志完整性而必须避免的换行符/EOL/制表符。

避免日志伪造的最佳实践建议是：

  1. 确保替换所有相关的危险字符。例子：

    cleanInput = input.replace('\t', '-').replace('\n', '-').replace('\r', '-');

  2. 验证所有输入，无论来源如何。验证应基于白名单。只接受符合指定结构的数据，而不是拒绝错误的模式。检查：数据类型、大小、范围、格式、预期值。

希望这可以解决您的问题。

于 2019-03-28T06:24:26.603 回答
4

  1. 查看“事件收集”部分中的日志记录 - OWASP 备忘单系列

  2. 最好的编码器还是 OWASP Java Encoder => 解决@yaloner的2.

  3. 在 OWASP 也有一个项目来帮助你处理日志注入OWASP Security Logging => 解决@yaloner 的 1.

看看他们会解决问题

于 2019-04-02T12:01:34.173 回答