¿Cuál es la mejor manera de defenderse contra un ataque transversal de ruta?

Question

Tengo una implementación de servidor Java (TFTP si es importante para usted) y me gustaría asegurarme de que no sea susceptible a los ataques de ruta transversal que permitan el acceso a archivos y ubicaciones que no deberían estar disponibles.

Mi mejor intento de defender hasta el momento es rechazar las entradas que coincidan con File.isAbsolute() y luego se basan en File.getCanonicalPath() para resolver cualquier componente ../ y ./ fuera de la trayectoria. Por último, me aseguro de que la trayectoria resultante es todavía dentro del directorio raíz requerido de mi servidor:

public String sanitize(final File dir, final String entry) throws IOException { 
    if (entry.length() == 0) { 
     throw new PathTraversalException(entry); 
    } 

    if (new File(entry).isAbsolute()) { 
     throw new PathTraversalException(entry); 
    } 

    final String canonicalDirPath = dir.getCanonicalPath() + File.separator; 
    final String canonicalEntryPath = new File(dir, entry).getCanonicalPath(); 

    if (!canonicalEntryPath.startsWith(canonicalDirPath)) { 
     throw new PathTraversalException(entry); 
    } 

    return canonicalEntryPath.substring(canonicalDirPath.length()); 
} 

¿Hay problemas de seguridad que esto pasa por alto? ¿Hay mejor/más rápido para lograr el mismo resultado de manera confiable?

El código debe funcionar de forma coherente en Windows y Linux.

Answer 1

Si está ejecutando esto en una máquina Unix (no estoy seguro de si windows tiene algo similar, pero podría) querrá ver chroot. Incluso si cree que recurre a todos los métodos para que alguien remita algunos directorios, es bueno tener el sistema operativo allí haciendo cumplir el hecho.

(chroot hace que '/' haga referencia a otro directorio, por lo que "/" podría ser "/ home/me/project" y "/../../ .." sigue siendo "/ home/me/proyecto")

EDIT:.

Hay una llamada al sistema chroot, así como una herramienta de línea de comandos chroot. No sé si Java tiene un método nativo, pero nada le impediría ejecutar su servidor con la herramienta de línea de comandos. Esto debería, por supuesto, ser además de hacer su mejor esfuerzo para evitar otras manipulaciones de ruta.

Answer 2

Puede consultar los caracteres permitidos en los nombres de archivo (http://en.wikipedia.org/wiki/Filename) y filtrar todos los caracteres no permitidos (lista blanca) y luego puede estar seguro de que tiene un nombre de archivo allí.

Answer 3

Lo siguiente puede ayudar. Compara las rutas canónica y absoluta, y si difieren, entonces fallará. Solo probado en un sistema Mac/Linux (es decir, sin ventanas).

Esto es para el caso en el que desea permitir que el usuario proporcione una ruta relativa, no una ruta absoluta, y no permite ninguna referencia de directorio principal.

public void failIfDirectoryTraversal(String relativePath) 
{ 
    File file = new File(relativePath); 

    if (file.isAbsolute()) 
    { 
     throw new RuntimeException("Directory traversal attempt - absolute path not allowed"); 
    } 

    String pathUsingCanonical; 
    String pathUsingAbsolute; 
    try 
    { 
     pathUsingCanonical = file.getCanonicalPath(); 
     pathUsingAbsolute = file.getAbsolutePath(); 
    } 
    catch (IOException e) 
    { 
     throw new RuntimeException("Directory traversal attempt?", e); 
    } 


    // Require the absolute path and canonicalized path match. 
    // This is done to avoid directory traversal 
    // attacks, e.g. "1/../2/" 
    if (! pathUsingCanonical.equals(pathUsingAbsolute)) 
    { 
     throw new RuntimeException("Directory traversal attempt?"); 
    } 
}