Fortify 扫描报告中的 ‘Path Manipulation’ 问题

本篇介绍在 Java应用中如何防御路径操作（Path Manipulation）的攻击。

Path Manipulation (Input Validation and Representation, Data Flow) 文件路径安全漏洞Fortofy的官方问题描述说明比较难理解，简言之，文件路径不安全，那么如何解决呢？

目前网络上查询的Java解决 Path Manipulation 弱点的方案是不足的甚至是错误的，有一定的误导性。比如stackoverflow 有一篇的解决方案是建议使用 Java本身的Path 或者是Apache Common IO 的normalize()方法来对路径进行规范化处理。

在文件上传中，代码扫描会产生 路径篡改（Path Manipulation）的缺陷，今天总结一下该问题的产生原因及解决方法。 一.问题描述 在使用 Fortify 扫描项目时，产生如下缺陷，该问题是说 使用如下代码： request.getParameter(“bizId”) 直接作为上传文件名称组成字段时会产生 路径篡改 FileRelation relation = fileRelation...

但在某些情况下，这种方法并不可行，因为这样一份合法资源名的列表过于庞大，维护难度过大。但是，任何这样一个列表都不可能是完整的，而且将随着时间的推移而过时。更好的方法是创建一个字符列表，允许其中的字符出现在资源名称中，且只接受完全由这些被认可的字符组成的输入。例如，在某一程序中，攻击者可以获得特定的权限，以重写指定的文件或是在其控制的配置环境下运行程序。如果程序以足够的权限运行，且恶意用户能够篡改配置文件，那么他们可以通过程序读取系统中以扩展名 .txt 结尾的任何文件。进入程序的值，这一数值用于通过。

Fortify扫描遇到了Path Manipulation问题，定位代码如下： File publisFile = null; File publisFileDir = new File(OSSFileUtils.getDeploy()+"/"+corpPK);涉及到安全性问题，在文件目录下，没有限制文件目录，可能存在的问题是：可以退回上一级目录，继而访问上一级内容， 解决办法：step1

当满足以下两个条件时，就会产生 path manipulation 错误：1. 攻击者可以指定某一文件系统操作中所使用的路径。2. 攻击者可以通过指定特定资源来获取某种权限，而这种权限在一般情况下是不可能获得的。例如，在某一程序中，攻击者可以获得特定的权限，以重写指定的文件或是在其控制的配置环境下运行程序。例 1： 下面的代码使用来自于 HTTP 请求的输入来创建一个文件名。程序员没有考虑到攻击者可能使用像“../../

@[TOC](Fortify(Path Manipulation)解决) commons-io-2.5.jar org.apache.commons.io.FilenameUtils.normalize()处理路径 通过引入上述jar包，对传入的路径参数进行处理即可，完成Fortify提示问题。 ...

文章目录描述场景任意文件下载代码分析修复方案建议任意文件上传代码实现修复建议代码地址 描述 在对文件进行操作（读，写，删除）的过程中，未对文件路径进行有效的合法性校验，导致文件被任意下载，上传任意文件导致服务器被种植木马，getshell 场景 任意文件下载 任意文件上传 任意文件下载 任意文件下载漏洞，一些网站由于业务需求，往往需要提供文件查看或文件下载功能，正常的利用手段是下载服务器文件，但若对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意敏感文件 代码分析 @RestControll

1.扫描结果 2.演示 方式1：/users/wenfx/temple/test/FX 路径下有abc.txt 方式2： /users/wenfx/temple路径下也有abc.txt 原本传入方式1，当路径篡改变成2时，删除的文件就变了（读取一样） 3.解决方案 1.简单：过滤路径中../类似的特定字符。 2.复杂：路径篡改最有效的解决办法就是避免用......

三个流资源一起关闭： prop.load(ConfigUtil.class.getResourceAsStream("/config.properties")); emmprop.load(ConfigUtil.class.getResourceAsStream("/emmconfig.properties")); applicationProp.load(ConfigUtil.cla

　　继续对Fortify的漏洞进行总结，本篇主要针对Path Manipulation（路径篡改）的漏洞进行总结，如下： 1、Path Manipulation（路径篡改） 1.1、产生原因： 当满足以下两个条件时，就会产生 path manipulation 错误： 1. 攻击者可以指定某一文件系统操作中所使用的路径。 2. ...

前言 前段时间公司外网部署的演示环境全部转到内网环境中去，所有对外演示的环境都需要申请外网映射才能访问某个服务。我用一个外网地址 www.a.com 映射到一个内网地址 http://ip:port，然后在这个地址 http://ip:port 用 nginx 做代理转发到各个组的项目 http://ipn:portn 上去，其中也遇到一些静态资源 404，主要是是解决这个 404 问题。 最近又做了一个项目，考虑到用户的体验，减少部署的复杂性，我想了一个办法用 SpringBoot 做 web 服务器映射

1.    关于Log的问题（Log Forging），整个系统中，对于Log的问题最多，可以采用以下方式进行解决。 解决方案如下： 1） 只输出必要的日志，功能上线前屏蔽大多数的调试日志。 2） 过滤掉非法字符：   2.    关于创建File（Path Manipulation）的问题。 Fortify扫描遇到了Path Manipulation问题，定位代码如下： 1

编写java打码如下： 。。。 File proFile = new File(path); 。。。   使用fortify扫描，会报一个Path Manipulation的漏洞，怎么解决呢？看下面代码： HashMap map = new HashMap();   map.put("a", "a");   map.put("b", "b");   map.put("c", "c