Checkmarx-如何验证和清理HttpServletRequest .getInputStream以通过checkmarx扫描

问题描述

以下是checkmarx问题的详细信息 上传不受限制的文件

源对象：req（第39行）

目标对象：getInputStream（行号-41）

    public class JWTLoginFilter extends AbstractAuthenticationProcessingFilter
{

    //...
38 public Authentication attemptAuthentication(HttpServletRequest req,HttpServletResponse res)
39            throws AuthenticationException,IOException,servletexception
40    {
41        Entitlements creds = new ObjectMapper().readValue(req.getInputStream(),Entitlements.class);

        return getAuthenticationManager().authenticate(
                new UsernamePasswordAuthenticationToken(creds.getId(),"",Collections.emptyList()));
    }
    //...
}

请求对象在checkmarx工具中突出显示-

如何正确验证，过滤，转义和/或编码用户可控制的输入以通过Checkmarx扫描？

解决方法

这对我有用-Checkmarx通过了这个高度漏洞

我使用了@reflexdemon ans和@tgdavies注释的组合

@Override
public Authentication attemptAuthentication(HttpServletRequest req,HttpServletResponse res)
        throws IOException
{
    int len = req.getContentLength();
    len = Integer.parseInt(Encode.forHtml(String.valueOf(len)));
    String type = req.getContentType();
    type =  Encode.forHtml(type);
    Entitlements creds;
    if(len == INPUT_LENGTH && type.equals(MIMETYPE_TEXT_PLAIN_UTF_8)) {
        creds = new ObjectMapper().readValue(req.getReader().lines().collect(Collectors.joining(System.lineSeparator())),Entitlements.class);
    }else{
        creds = new Entitlements();
    }

    return getAuthenticationManager().authenticate(
            new UsernamePasswordAuthenticationToken(creds.getId(),"",Collections.emptyList()));
}

,

有时，我们可以使用某种间接级别来欺骗该工具。您可以尝试下面的方法，看看是否可以解决您的问题，

替换：

Entitlements creds = new ObjectMapper().readValue(req.getInputStream(),Entitlements.class);

使用

Entitlements creds = new ObjectMapper().readValue(req.getReader().lines().collect(Collectors.joining(System.lineSeparator())),Entitlements.class);

,

你的代码可以重构为这样：

// Negative
public class JWTLoginFilter extends AbstractAuthenticationProcessingFilter {

    public Authentication attemptAuthentication(HttpServletRequest req,HttpServletResponse res)
            throws AuthenticationException,IOException,ServletException {

        if (req.getContentLength() > MAX_REQUEST_SIZE) {
            throw new IOException("request body size too big!");
        }

        Entitlements creds = new ObjectMapper().readValue(req.getInputStream(),Entitlements.class);

        return getAuthenticationManager()
                .authenticate(new UsernamePasswordAuthenticationToken(creds.getId(),Collections.emptyList()));
    }

}

您可以使用 getContentLength 作为验证器。默认情况下，CxSAST 9.3 无法检测到此验证器。您可以通过此文件中的内容覆盖 Java_Low_Visibility/Unrestricted_File_Upload 查询： https://github.com/checkmarx-ts/CxQL/blob/master/Java/Java_Low_Visibility/Unrestricted_File_Upload.txt

还支持其他验证器，getSize、getFileSize。您还可以将 MultipartConfig 注释与 maxRequestSize 一起使用。或者在 web.xml 中使用 multipart-config max-request-size。

,

似乎扫描程序在您的代码中发现了XSS漏洞。

来自OWASP的Cross-site Scripting (XSS) page：

跨站脚本（XSS）攻击是一种注入，其中 恶意脚本被注入到原本良性和可信赖的环境中 网站。当攻击者使用Web应用程序进行攻击时，就会发生XSS攻击 发送恶意代码，通常以浏览器脚本的形式， 给另一个最终用户。使这些攻击成功的缺陷是 相当普遍，并且发生在Web应用程序使用来自 用户在其生成的输出中未经验证或编码 它。

要深入了解如何避免跨站点脚本漏洞，强烈建议您遍历OWASP的XSS (Cross-Site Scripting) Prevention Cheat Sheet page。 那里列出了一些消毒剂选项，您可以根据特定的语言和相关用途进行选择。

祝你好运。