Как предотвратить Path Traversal в Java

Question

Недавно я использовал AppScan Source для сканирования кодирования, и он нашел одну из находки, которую я не знаю, как исправить и перейти к сканеру

Вот мой код.

public void init() 
{ 
String prefix = getServletContext().getRealPath("/"); 
String file = getInitParameter("log4j-init-file"); 

String pth = "C:\\wls1034\\user_projects\\domains\\base_domain\\servers\\AdminServer\\tmp\\_WL_user\\SimulationService\\39m5yi\\war\\WEB-INF"; 
String n= prefix+file; 

File fileExists = new File(n); 
if (fileExists.exists()) { 
      PropertyConfigurator.configure("C:\\wls1034\\user_projects\\domains\\base_domain\\servers\\AdminServer\\tmp\\_WL_user\\SimulationService\\39m5yi\\war\\WEB-INF" + file); 
      } else { 
      BasicConfigurator.configure(); 
      } 
} 

Я попытался добавить инструкцию if, чтобы проверить любой специальный символ в пути. Однако сканер по-прежнему сообщает об обнаружении в «File fileExists = new File (n)»;

public void init() 
{ 
String prefix = getServletContext().getRealPath("/"); 
String file = getInitParameter("log4j-init-file"); 

String pth = "C:\\wls1034\\user_projects\\domains\\base_domain\\servers\\AdminServer\\tmp\\_WL_user\\SimulationService\\39m5yi\\war\\WEB-INF"; 
String n= prefix+file; 
//For Security Checking 
if (file != null && !n.contains("../") && !n.contains("$") && !n.contains("*"))//Check the path whether it's included risk character 
{ 

File fileExists = new File(n); 
if (fileExists.exists()) { 
      PropertyConfigurator.configure("C:\\wls1034\\user_projects\\domains\\base_domain\\servers\\AdminServer\\tmp\\_WL_user\\SimulationService\\39m5yi\\war\\WEB-INF" + file); 
      } else { 
      BasicConfigurator.configure(); 
      } 
} 
} 

Answer 1

Это всего лишь ложное положительное значение от сканера. Не существует риска для безопасности с указанным выше кодом, поскольку пользовательский ввод не используется для чтения или записи на путь.

Answer 2

Сканер управляет файловыми дорожками с переменными.

var sr = new StreamReader("C:\\....\\WEB-INF" + file); 

Как уже упоминалось, Ахмад обычно является ложным. Но рекомендуется проверить, что вредоносный пользователь не может использовать код и получить доступ к файлам, которые не были предназначены.

Чтобы сделать сканер счастливым, вы можете предоставить его жестко закодированными путями или создать оператор switch для каждого возможного пути к файлу.

switch (fileId) 
    { 
     case "1": 
      sr = new StreamReader("C:\file-1"); 
      break; 
     case "2": 
      sr = new StreamReader("C:\file-2"); 
      break; 
    } 

Но кто хочет сделать это!

Ваш лучший вариант - обеспечить отсутствие угрозы и убедить людей безопасности, чтобы ваш код продолжался.