Java でのパストラバーサル攻撃の防止-＆＃＆チュートリアル-php.cn

Java でのパストラバーサル攻撃の防止

PHPz

リリース： 2023-08-09 18:36:18

オリジナル

3115 人が閲覧しました

Java でのパストラバーサル攻撃の防止

インターネットの急速な発展に伴い、ネットワークセキュリティの問題はますます重要になっています。パストラバーサル攻撃は、攻撃者がファイルパスを操作してシステム情報を取得したり、機密ファイルを読み取ったり、悪意のあるコードを実行したりする一般的なセキュリティ脆弱性です。 Java 開発では、パストラバーサル攻撃を防ぐために適切な方法を講じる必要があります。

パストラバーサル攻撃の原理は、ユーザーが入力したファイルパスの誤った処理によって引き起こされます。パストラバーサル攻撃がどのように機能するかを示す簡単なサンプルコードを次に示します。

import java.io.*;

public class PathTraversalDemo {
  
  public static void readFile(String filePath) {
    try {
        File file = new File(filePath);
        BufferedReader reader = new BufferedReader(new FileReader(file));
        String line;
        while ((line = reader.readLine()) != null) {
            System.out.println(line);
        }
        reader.close();
    } catch (IOException e) {
        e.printStackTrace();
    }
  }

  public static void main(String[] args) {
    String userInput = "/path/to/sensitive/file.txt";
    readFile(userInput);
  }
}

ログイン後にコピー

上記のサンプルコードでは、readFile() メソッドはユーザーが入力したファイルパスを受け取り、ファイルの内容を読み取ろうとします。。ただし、ユーザーが入力したファイルパスに特殊文字またはディレクトリトラバーサル記号 (../ など) が含まれている場合、攻撃者は機密ファイルを含むあらゆるファイルを読み取ることができる可能性があります。

パストラバーサル攻撃を防ぐために、次の提案に従うことができます。

入力検証: ユーザーが入力したファイルパスを受け取る前に、厳密に検証する必要があります。正規表現またはホワイトリストフィルタリングを使用して、ファイルパスに安全な文字とディレクトリのみが含まれていることを確認できます。

// 示例代码
public static boolean isSafePath(String filePath) {
    // 使用正则表达式检查文件路径
    String regex = "^[a-zA-Z0-9-_]+$";
    return filePath.matches(regex);
}

public static void main(String[] args) {
    String userInput = "/path/to/sensitive/file.txt";
    if (isSafePath(userInput)) {
        readFile(userInput);
    } else {
        System.out.println("Invalid file path!");
    }
}

ログイン後にコピー

ファイルパスの正規化: canonicalFile() や getCanonicalPath() など、Java が提供するファイルパス処理関数を使用します。ユーザーが入力したファイルパスは絶対パスに正規化され、パストラバーサルの問題は自動的に解決されます。

// 示例代码
public static void readFile(String filePath) {
    try {
        File file = new File(filePath);
        String canonicalPath = file.getCanonicalPath(); // 正规化文件路径
        if (!canonicalPath.startsWith("/path/to/sensitive/")) {
            throw new IllegalArgumentException("Invalid file path!");
        }
        
        BufferedReader reader = new BufferedReader(new FileReader(file));
        // ...
    } catch (IOException e) {
        e.printStackTrace();
    }
}

ログイン後にコピー

ファイルアクセス許可の制御: アプリケーションが必要なファイルにアクセスするのに十分なアクセス許可のみを持っていることを確認します。たとえば、機密ファイルにアクセス許可を設定して、アプリケーションを実行しているユーザーのみが読み取りできるようにすることができます。

// 示例代码
public static void readFile(String filePath) {
    try {
        File file = new File(filePath);
        if (!file.canRead()) {
            throw new SecurityException("No permission to read file!");
        }
        
        BufferedReader reader = new BufferedReader(new FileReader(file));
        // ...
    } catch (IOException e) {
        e.printStackTrace();
    }
}

ログイン後にコピー

要約すると、Java でのパストラバーサル攻撃を防ぐには、開発者はユーザーが入力したファイルパスを常に検証し、ファイルパスを処理するために Java が提供する正規化関数を使用する必要があります。さらに、アプリケーションが必要なファイルにのみアクセスできるように、ファイルアクセス許可を厳密に制御する必要があります。

上記のセキュリティ対策を講じることにより、パストラバーサル攻撃を効果的に防止し、アプリケーションとユーザーのデータセキュリティを保護できます。設計およびコーディングのプロセス中にセキュリティを最前線に置くと、アプリケーションのセキュリティを効果的に向上させることができます。

以上がJava でのパストラバーサル攻撃の防止の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。