"हेलो, चेकमारक्स!" Checkmarx SAST के लिए अनुरोध कैसे लिखें और शांत भेद्यता खोजें

नमस्कार, हेब्र!

लेख में मैं Checkmarx SAST में अपने प्रश्न बनाने के हमारे अनुभव के बारे में बात करना चाहता हूं।

जब आप पहली बार इस विश्लेषक से परिचित होते हैं, तो आपको यह धारणा मिल सकती है कि कमजोर एन्क्रिप्शन / हैशिंग एल्गोरिदम और झूठे सकारात्मक के ढेर की खोज के अलावा, यह कुछ और नहीं लौटाता है। लेकिन जब ठीक से कॉन्फ़िगर किया गया है, तो यह एक सुपर शक्तिशाली उपकरण है जो गंभीर बग की तलाश कर सकता है।

हम Checkmarx SAST क्वेरी भाषा की पेचीदगियों को समझेंगे और SQL इंजेक्शन और असुरक्षित प्रत्यक्ष वस्तु संदर्भ के लिए खोज करने के लिए 2 क्वेरी लिखेंगे।

प्रविष्टि

चेकमरैक्स पर किसी भी गाइड या लेख की लंबी खोज के बाद, यह मेरे लिए स्पष्ट हो गया कि आधिकारिक दस्तावेज के अलावा, पर्याप्त उपयोगी जानकारी नहीं थी। और आधिकारिक दस्तावेज यह नहीं कहते हैं कि सब कुछ बहुत स्पष्ट और समझ में आता है। उदाहरण के लिए, मुझे कोई भी सर्वोत्तम अभ्यास नहीं मिला, ओवरराइड प्रश्नों को सही तरीके से कैसे व्यवस्थित किया जाए, क्वेरी को "डमीज़ के लिए" कैसे लिखा जाए, आदि, हाँ, सीएमएक्स क्वेरी लैंग्वेज फ़ंक्शंस पर प्रलेखन है, लेकिन यहाँ इन कार्यों को एक ही क्वेरी में संयोजित करने का तरीका बताया गया है। प्रलेखन नहीं लिखा है।

शायद चेकमारैक्स समुदाय के लेखों और गाइडों की कमी उपकरण की उच्च लागत के साथ जुड़ी हुई है और, परिणामस्वरूप, एक छोटा दर्शक। या हो सकता है कि कुछ ही लोग फाइन-ट्यूनिंग से परेशान हों और समाधान का उपयोग करें, जैसा कि बॉक्स से बाहर है।

अपने अनुभव में, मैं यह देखता हूं कि वास्तविक बगों की खोज करने की तुलना में ग्राहकों की ओर से विभिन्न आवश्यकताओं से संबंधित औपचारिकताओं का पालन करने के लिए SAST का उपयोग अधिक किया जाता है। इस दृष्टिकोण के साथ, परिणामस्वरूप, हमारे पास, "कमजोरियों" की अपेक्षाकृत कम संख्या है, जो लगभग स्वचालित रूप से "शोषक नहीं" कहा जाता है (क्योंकि वे 99.9% मामलों में हैं)।

यह ध्यान दिया जाना चाहिए कि चेकमारक्स स्वयं अपने प्रश्नों को अपडेट करने की कोशिश कर रहा है ताकि वे आउट ऑफ द बॉक्स सबसे अच्छा परिणाम दें। लेकिन CMx क्वेरी भाषा के प्रश्न "सामान्य मामले" के अनुरूप हैं। टोकन की प्रारंभिक खोज नाम पर आधारित है। उदाहरण के लिए, CMx SAST मानता है कि डेटाबेस के सभी प्रश्न इस तरह दिखाई देंगे: * createQuery * या * createSQLQuery *। लेकिन अगर डेटाबेस के साथ काम करने के लिए आंतरिक विकास का उपयोग किया जाता है, और डेटाबेस को क्वेरी करने के लिए विधि को अलग तरह से कहा जाता है, उदाहरण के लिए * driveMyQuery *, तो सभी SQL विधियां छोड़ दी जाएंगी। उदाहरण के लिए, हमारा ग्राहक SQL DB के लिए कस्टम ORM का उपयोग करता है। इस स्थिति में, बॉक्स से बाहर CMx क्वेरीज़ सभी SQL इंजेक्शनों को छोड़ देता है।

संकेताक्षर और परिभाषाएँ

CMx - चेकमारक्स SAST।
CMxQL - चेकमारक्स SAST क्वेरी भाषा
टोकन - एक निश्चित मूल्य के साथ एक स्ट्रिंग लेक्सिकल विश्लेषक के काम का परिणाम है (जिसे टोकन भी कहा जाता है)

परीक्षण आवेदन

एक लेख लिखने के लिए, मैंने कुछ जावा कोड, एक छोटा परीक्षण एप्लिकेशन स्केच किया। यह कोड वास्तविक प्रणाली के एक छोटे से हिस्से की अनुमानित प्रति है। हालांकि सामान्य रूप से परीक्षण एप्लिकेशन का कोड किसी भी अन्य HTTP बैकएंड कोड से बहुत अलग नहीं है। स्क्रीनशॉट में परीक्षण एप्लिकेशन कोड के प्रमुख भाग दिखाई देंगे।

परीक्षण आवेदन में निम्नलिखित संरचना है

इनकमिंग HTTP रिक्वेस्ट को प्रोसेस करने के लिए WebRouter क्लास; अंदर यूआरएल प्रोसेस करने के 4 तरीके:

• / getTransaction - इनपुट आईडी पर लेनदेन आईडी को स्वीकार करता है और उस पर जानकारी देता है, आईडी इसे एक स्ट्रिंग के रूप में लेता है, और इसे getTransactionInfo (transactionId) => getTransactionInfo (transactoinId) पर भेज देता है - SQL क्वेरी (यानी, SQL इंजेक्शन प्राप्त होता है) के लिए TransIdate बनाता है;
• / getSecureTransaction - लेन-देन आईडी को इनपुट के रूप में स्वीकार करता है और उस पर जानकारी लौटाता है, आईडी इसे एक स्ट्रिंग के रूप में लेता है और इसे प्राप्त करता है। मामला इंजेक्शन का शोषण नहीं है);
• / getSettings - एक इनपुट के रूप में userId और iPodId को स्वीकार करता है - और मेलबॉक्स सेटिंग्स जारी करता है। यह सत्यापित नहीं करता कि मेलबॉक्सिड उपयोगकर्ता का है;
• / getSecureSettings - भी इनपुट के लिए userId और मेलबॉक्सआईड को स्वीकार करता है और मेलबॉक्स सेटिंग्स प्रदर्शित करता है। BUT यह जाँचता है कि मेलबॉक्स उपयोगकर्ता के अंतर्गत आता है।

CMx: सामान्य सूचना और बुनियादी परिभाषा

इससे पहले कि आप प्रश्नों को विकसित करना शुरू करें

क्वेरी डेवलपमेंट एक अलग प्रोग्राम CxAuditor में किया जाता है। CxAuditor में आपको सभी कोड (स्थानीय प्रोजेक्ट बनाने) को स्कैन करना होगा, जिसके लिए हम क्वेरीज़ लिखेंगे। उसके बाद, आप नए प्रश्नों को लिख और चला सकते हैं। एक बड़े कोड बेस के साथ, प्राथमिक स्कैनिंग में घंटों का समय और स्मृति के गीगाबाइट्स लग सकते हैं। उसके बाद, प्रत्येक अनुरोध को तेजी से निष्पादित नहीं किया जाएगा। यह विकास के लिए पूरी तरह से अनुपयुक्त है।

इसलिए, आप प्रोजेक्ट से फ़ाइलों का एक छोटा सा सेट ले सकते हैं, आदर्श रूप से उस प्रकार के अग्रिम में कोड में पाए गए बग के साथ जिसके तहत हम एक अनुरोध लिख रहे हैं (या अपने हाथों से बग को वहां रखें) और केवल फाइलों के इस सेट को स्कैन करें। परियोजना की फ़ाइल संरचना का अनुपालन करना आवश्यक नहीं है। यही है, अगर आपके पास जावा पैकेज ए और बी है, और पैकेज बी में कक्षाएं ए के वर्गों और विधियों का उपयोग करती हैं, तो आप यह सब एक ही निर्देशिका में डाल सकते हैं, और सीएमएक्स अभी भी रिश्तों को समझेंगे और फाइलों के बीच कॉल चेन को सही तरीके से (अच्छी तरह से, या लगभग) बनाएंगे। हमेशा सही, हालांकि त्रुटियां शायद ही परियोजना की फ़ाइल संरचना से संबंधित हैं)।

मूल परिभाषाएँ

CxList

CMx में मुख्य डेटा प्रकार। लगभग सभी CMxQL कार्यों का परिणाम CxList होगा। यह कुछ गुणों वाले तत्वों का एक बहुत है। विकास के लिए सबसे अधिक उपयोगी गुणों को नीचे माना जाएगा।

परिणाम

CMxQL में एक अंतर्निहित चर परिणाम है । वह सेट जिसमें परिणाम चर होता है, संपूर्ण क्वेरी के निष्पादन के बाद परिणाम के रूप में प्रदर्शित किया जाएगा।

अर्थात्, किसी भी प्रश्न का अंतिम संचालन स्ट्रिंग परिणाम = होना चाहिए, उदाहरण के लिए:

result = All.FindByName("anyname"); 

प्रवाह और कोड तत्व

लौटे हुए मानों के प्रकार से अधिकांश CMxQL कार्य 2 में विभाजित होते हैं, जो "कोड एलिमेंट्स" को वापस करते हैं और जो फ्लो लौटाते हैं। दोनों ही मामलों में, परिणाम एक CxList है । लेकिन इसकी सामग्री फ्लो और कोड तत्वों के लिए थोड़ी अलग होगी।

• कोड तत्व - टोकन - उदाहरण के लिए, एक चर, विधि कॉल, असाइनमेंट, आदि;
• प्रवाह - दिए गए टोकन के बीच संबंध।

सभी और "उप" सभी

प्रत्येक CMxQL फ़ंक्शन को सभी सेट पर किया जा सकता है (इसमें संपूर्ण स्कैन कोड के सभी टोकन शामिल हैं, हमने पहले ही परिणाम के साथ एक उदाहरण देखा) या CxList सेट पर, जो बदले में क्वेरी में कुछ संचालन के परिणामस्वरूप प्राप्त किया गया था, उदाहरण के लिए, क्वेरी:

 CxList newList = CxList.New(); 

एक खाली सेट बनाएगा, जिसे हम फिर ऐड () विधि का उपयोग करके तत्वों से भर सकते हैं, और फिर नए सेट के तत्वों द्वारा पहले से ही खोज सकते हैं:

 CxList newFind = newList.FindByName("narrowedScope"); 

पाया वस्तुओं के गुण

CxList सेट के प्रत्येक तत्व में कई गुण होते हैं। प्रश्न लिखने के लिए परिणामों का विश्लेषण करते समय, सबसे उपयोगी हैं:

• SourceFile - फ़ाइल का नाम जिसमें यह तत्व शामिल है;
• सोर्स लाइन - टोकन के साथ लाइन नंबर;
• स्रोत का नाम - टोकन का नाम। समतुल्य टोकन, अर्थात यदि चर को var1 कहा जाता है, तो Source Name = var1;
• स्रोत प्रकार - टोकन का प्रकार। उदाहरण के लिए, यदि यह एक स्ट्रिंग है, तो यह स्ट्रिंगलिटरल होगा, यदि विधि को बुलाया जाता है, तो मेथडइनवोक एक्सप्र, और कई अन्य;
• गंतव्य फ़ाइल
• गंतव्य रेखा;
• गंतव्य का नाम;
• गंतव्य प्रकार।

स्रोत और गंतव्य अलग-अलग होंगे यदि परिणाम सेट के तत्व प्रवाह हैं, और इसके विपरीत वे मेल करेंगे यदि परिणाम कोड तत्व हैं।

प्रश्न बनाना शुरू करें

सभी CMxQL कार्यों को कई प्रकारों में विभाजित किया जा सकता है। यहाँ, मेरी राय में, कोई भी CMxQL प्रलेखन की मुख्य खामी को नोट कर सकता है, गोदी में सभी कार्यों को केवल वर्णानुक्रम में वर्णित किया गया है, जबकि यह कार्यक्षमता के अनुसार उन्हें संरचना करने के लिए बहुत अधिक सुविधाजनक होगा और केवल तब वर्णानुक्रम में।

• खोज कार्य - FindBy * और GetBy * नाम के साथ लगभग सभी CMxQL कार्य करता है;
• सेट पर संचालन के कार्य इसके अतिरिक्त हैं, घटाव, चौराहे, तत्वों पर पुनरावृत्ति, आदि।
• विश्लेषण कार्य - ये मूल रूप से * InfluencedBy * * InfluencingOn * फ़ंक्शन हैं।

प्रश्नों का मूल सिद्धांत इस प्रकार के कार्यों का विकल्प है। सबसे पहले, खोज फ़ंक्शंस का उपयोग करते हुए, हम केवल उन टोकन का चयन करते हैं जो हमें कुछ गुणों द्वारा रुचि रखते हैं। सेट पर संचालन का उपयोग करके, हम अलग-अलग टोकन गुणों के साथ अलग-अलग सेट को एक में जोड़ सकते हैं, या इसके विपरीत, एक से दूसरे को घटा सकते हैं। फिर, विश्लेषण कार्यों का उपयोग करते हुए, हम कोड फ्लो का निर्माण करते हैं और यह समझने की कोशिश करते हैं कि क्या संभावित कमजोरियां प्रवेश बिंदुओं पर मापदंडों पर निर्भर करती हैं।

उस स्थान का विकल्प, जहां से खोज शुरू की जाती है, और सामान्य रूप से संपूर्ण खोज पथ, विशिष्ट कोड पर और अधिक सटीक रूप से "पाठ" पर भी निर्भर करता है। कुछ मामलों में, प्रवेश बिंदु से उपयोगकर्ता प्रश्नों की खोज करना सुविधाजनक है, कुछ में "अंत" या बीच से भी शुरू करना अधिक सुविधाजनक है। यह सब विशिष्ट कोड पर निर्भर करता है और आपको व्यक्तिगत रूप से प्रत्येक रिपॉजिटरी से संपर्क करना होगा।

उदाहरण: खोज SQL इंजेक्शन

खोज योजना, कोष्ठक में मैंने सेट के नाम (क्वेरी में चर) का संकेत दिया:

1. अपवादों को परिभाषित करें - टोकन जिन्हें तुरंत खोज स्कोप ( बहिष्करण सूची ) से बाहर निकाला जा सकता है;
2. स्वच्छता / सुरक्षा जांच ( स्वच्छता ) का स्थान निर्धारित करें;
3. डेटाबेस में क्वेरी निष्पादन के साथ सभी निम्न-स्तरीय स्थान खोजें ( runSuperSecureSQLQuery );
4. सभी विधियों को खोजे जाने वाले तरीकों को खोजें: runSuperSecureSQLQuery ( runSSSQParams );
5. डेटाबेस में क्वेरी निष्पादन के स्थानों के लिए प्रवेश बिंदु (मूल तरीके और उनके पैरामीटर) खोजें ( entryPointsParameters );
6. प्रवेश बिंदुओं पर runSSSQParams मापदंडों की निर्भरता का पता लगाएं, जबकि केवल उन स्थानों पर जहां इनपुट सैनिटाइजेशन का कोई संकरण नहीं है।

परिणामस्वरूप, हमें SQL क्वेरीज़ के साथ निम्न-स्तरीय विधियाँ मिलती हैं, जहाँ SQL क्वेरी के पैरामीटर:

• विधि के मापदंडों पर निर्भर;
• मापदंडों को स्ट्रिंग्स के रूप में स्वीकार किया जाता है;
• अनुरोध के लिए मापदंडों को समाप्‍त किया गया है।

हम जांच नहीं करेंगे कि क्या हम इन मापदंडों को नियंत्रित कर सकते हैं, जैसा कि हम मानते हैं कि चर को क्वेरी में मैप करने के लिए एक तंत्र है और संख्याओं के लिए एक संख्यात्मक प्रकार के लिए एक कास्ट है, और स्ट्रिंग संयोजन हमेशा खतरनाक माना जाता है। यहां तक ​​कि अगर अब लाइन पर कोई नियंत्रण नहीं है, तो यह अच्छी तरह से नई रिलीज में दिखाई दे सकती है।

SQLi: चरण 1। अपवादों को परिभाषित करना

अपवादों में, आपको उन कक्षाओं या फ़ाइलों को जोड़ने की आवश्यकता होती है जहां टोकन के नाम उन लोगों से मेल खा सकते हैं, जिन्हें आप ढूंढ रहे हैं, क्योंकि ये टोकन अमान्य प्रविष्टियों को जन्म देंगे।

उदाहरण के लिए, डेटाबेस तक पहुँचने के लिए एक विधि को runSuperSecureSQLquery कहा जाता है। हम मानते हैं कि रनसुपरसुरक्सेसक्वेयर विधि अंदर सुरक्षित रूप से लागू की गई है। और हमारा काम उन जगहों को ढूंढना है जहां विधि का उपयोग करना सुरक्षित नहीं है। SQL इंजेक्शन के लिए, उपयोगकर्ता-नियंत्रित मापदंडों के संघनन के स्थान सुरक्षित स्थान नहीं होंगे। और सुरक्षित - ORM संरचना में मापदंडों के मानचित्रण के लिए स्थान या, उदाहरण के लिए, संख्यात्मक मापदंडों के लिए, यह इसी प्रकार का एक कलाकार है। हमें उन सभी कोड को स्कैन करने की आवश्यकता नहीं है जो runSuperSecureSQLquery की तुलना में "अधिक गहरा" है, जिसका अर्थ है कि बेकार पाया से बचने के लिए इसे बाहर करना बेहतर है।

ऐसे अपवादों की खोज करने के लिए CMxQL कार्यों का उपयोग करना सुविधाजनक है:

• FindByFileName () - एक विशेष फ़ाइल में सभी टोकन का सेट मिलेगा;
• GetByClass () - दिए गए नाम के साथ कक्षा में सभी टोकन का सेट मिलेगा।

एक परीक्षण आवेदन के लिए, यह अपवाद सत्र वर्ग है, जिसमें रनसुपरसेकेयरक्यूक्लेरी पद्धति का कार्यान्वयन शामिल है।
सत्र कक्षा में कोड को बाहर करने के अनुरोध का एक उदाहरण ( GetByClass () विधि यह जांच करेगी कि इनपुट में उत्तीर्ण किए गए टोकन में कौन सी क्लास का सीएमएक्स प्रकार है और इस वर्ग के बहुत सारे टोकन जारी करेगा)

 CxList exclusionList = All.GetByClass(All.FindByName("*Session*")); result = exclusionList; 

या दूसरा तरीका पूरे सत्र में कोड फेंकना है। जावा फाइल:

 CxList exclusionList = All.FindByFileName("*Session.java"); result = exclusionList; 

नाम से पहले तारांकन महत्वपूर्ण है, क्योंकि फ़ाइल नाम में संपूर्ण पथ शामिल है।
अब हमारे पास कई टोकन हैं जिन्हें खोज दायरे से अगले चरणों में घटाया जा सकता है।

सत्र वर्ग के अंदर टोकन की खोज का परिणाम:

SQLi: चरण 2। स्वच्छता स्थानों का निर्धारण

परीक्षण एप्लिकेशन में 2 एपीआई विधियां हैं (परीक्षण एप्लिकेशन का संक्षिप्त विवरण देखें)। दो API विधियों के बीच का अंतर यह है कि getTransactionInfo () SQL क्वेरी में transactionId पैरामीटर को मिलाता है , और getTransactionInfoSecured () पहले TransId को Long में रूपांतरित करता है , और फिर इसे स्ट्रिंग के रूप में पास करता है। भेद्यता (पैरामीटर संघनन) दोनों विधियों में अंतर्निहित है। लेकिन getTransactionInfoSecured () में लॉन्ग कास्टिंग के लिए धन्यवाद, अंतिम विधि इंजेक्शन के लिए असुरक्षित नहीं है, क्योंकि जब हम एक इंजेक्शन (स्ट्रिंग) पास करने की कोशिश करते हैं तो हमें एक जावा अपवाद मिलता है।

इस उदाहरण में, हम कलाकारों को लांग को स्वच्छता स्थल के रूप में मानेंगे। इन टोकन को खोजने के लिए:

 CxList sanitization = All.FindByName("*Long*"); result = sanitization; 

उदाहरण परिणाम:



परिणाम में YP प्रकार लांग के साथ टोकन शामिल थे और getValueAsLong विधियाँ, जो आंतरिक रूप से Long टाइप करने के लिए मान को परिवर्तित करती हैं । आपको यह सुनिश्चित करने के लिए परिणाम की सावधानीपूर्वक समीक्षा करने की आवश्यकता है कि कोई ज़रूरत से ज़्यादा नहीं है।

SQLi: चरण 3. डेटाबेस में क्वेरी निष्पादन के साथ सभी निम्न-स्तरीय स्थानों का पता लगाएं

निम्नलिखित क्वेरी को रनसुपरसुर SQLSQL टोकन (जो डेटाबेस तक पहुंचने के लिए उपयोग किया जाता है) का उपयोग करके सभी स्थान मिलेंगे:

 result = All.FindByName("*runSuperSecureSQLQuery*") 

टोकन नाम runSuperSecureSQLQuery द्वारा खोज परिणाम:


इसके अलावा, उन स्थानों के लिए जहां इस विधि को ( बिलिंग वर्ग) कहा जाता है, केवल विधि मंगलाचरण टोकन (प्रकार MethodInvokeExpr ) पाया जाएगा, और विधि घोषणा स्थान ( सत्र वर्ग) के लिए, सभी टोकन - चर भी मिलेंगे।

हम केवल विधि कॉल टोकन फ़िल्टर करते हैं:

 CxList runSuperSecureSQLQuery = All.FindByName("*runSuperSecureSQLQuery*").FindByType(typeof(MethodInvokeExpr)); result = runSuperSecureSQLQuery; 

परिणाम:


नतीजतन, हमें 7 स्थान मिले, उनमें से 4 को रनसुपरसेक्योरएसडीक्यूई () विधि ( बिलिंग और उपयोगकर्ता वर्ग) के लिए आवश्यक कॉल। 2 - सत्र वर्ग के अंदर runSuperSecureSQLQuery () आंतरिक विधि को कॉल करता है, और एक और ऐड विधि है, जो सीएमएक्सक्यूएल खोज विषमता के कुछ प्रकार है। मान लें कि मैंने यह उम्मीद नहीं की थी कि यह सूची में है =) सत्र वर्ग में टोकन, जैसा कि हमें चरण 1 में पता चला है, हमारे लिए दिलचस्प नहीं हैं, इसलिए हम उन्हें परिणाम से घटा देंगे:

 CxList runSuperSecureSQLQuery = All.FindByName("*runSuperSecureSQLQuery*").FindByType(typeof(MethodInvokeExpr)); result = runSuperSecureSQLQuery - exclusionList; 

हमें आवश्यक विधि के लिए कॉल की एक मान्य सूची मिलती है:



पिछली क्वेरी में FindByType () और टाइपोफ़ () फ़ंक्शन नोट करें। यदि हम CxList संपत्ति "स्रोत प्रकार" द्वारा CMx प्रकार, अर्थात खोज करना चाहते हैं, तो हम टाइपोफ (स्रोत प्रकार) का उपयोग करते हैं। यदि हम डेटा प्रकार द्वारा एक खोज करना चाहते हैं, तो हमें एक स्ट्रिंग के रूप में पैरामीटर को पास करना होगा। उदाहरण के लिए:

 result = All.FindByType("String"); 

प्रकार स्ट्रिंग के साथ सभी जावा टोकन मिलेंगे।

SQLi: चरण 4. RunSuperSecureSQLQuery नामक सभी विधियों को खोजें

विधि मापदंडों की खोज करने के लिए, CMxQL फ़ंक्शन GetParameters () का उपयोग किया जाता है :

 CxList runSSSQParams = All.GetParameters(runSuperSecureSQLQuery); result = runSSSQParams; 

परिणाम:

SQLi: चरण 5. डेटाबेस में क्वेरी निष्पादन स्थानों के लिए प्रवेश बिंदु खोजें

ऐसा करने के लिए, पहले हमें मूल विधियों के नाम मिलते हैं, जिनके अंदर runSuperSecureSQLQuery डेटाबेस पर कॉल होती है, और फिर हमें उनके पैरामीटर मिलते हैं। मूल टोकन की खोज करने के लिए, CMxQL फ़ंक्शन GetAncOfType () का उपयोग किया जाता है :

 CxList entryPoints = runSuperSecureSQLQuery.GetAncOfType(typeof(MethodDecl)); result = entryPoints; 

इस क्वेरी में, runSuperSecureSQLQuery सेट के लिए, MethodDecl के सभी मूल टोकन लौटाएँ - यह कॉल स्टैक में पिछली विधि है:



विधि मापदंडों की खोज करने के लिए, हम GetParameters () का उपयोग करते हैं:

 CxList entryPointsParameters = All.GetParameters(entryPoints).FindByType("String"); 

क्वेरी प्रविष्टि प्रकार के सबसेट के मापदंडों को जावा प्रकार स्ट्रिंग के साथ लौटाएगी :

एसक्यूआई: चरण 6. प्रवेश पर अंक PRSS मापदंडों की निर्भरता का पता लगाएंप्रमाणपत्र, जबकि केवल उन स्थानों पर जहां कोई सैनिटाइजेशन इनपुट इनपुट नहीं है

इस चरण में, हम विश्लेषण कार्यों का उपयोग करते हैं। फ्लो कोड का विश्लेषण करने के लिए निम्न कार्यों का उपयोग किया जाता है:

• InfluencedBy ()
• InfluencedByAndNotSanitized ()
• इन्फ्लुएंसिंगऑन ()
• InfluencingOnAndNotSanitized ()
• NotInfluencedBy ()
• NotInfluencingOn ()

RunSSSQParams के प्रवाह का पता लगाने के लिए, मापदंडों के आधार पर एंट्री पॉइंट पॉइंटर्स पैतृक विधि के मानदंड और स्वच्छता टोकन को बाहर करने का अनुरोध करें:

 CxList dataInflOnTable = runSSSQParams.InfluencedByAndNotSanitized(entryPointsParameters, sanitization); 

हालाँकि, मुझे यकीन नहीं है कि * AndNotSanitized फ़ंक्शंस अंदर कुछ जादू करते हैं, और यह अधिक ऐसा लगता है कि विधि इसके परिणाम से सैनिटाइज्ड सेट को घटा देती है। यदि आप ऐसा करते हैं:

 CxList dataInflOnTable = runSSSQParams.InfluencedBy(entryPointsParameters) - sanitization; 

यह एक ही बात है। हालाँकि शायद मुझे अभी कोई विकल्प नहीं मिला है जब मतभेद हैं।

क्वेरी का परिणाम हमें एक सही ढंग से निर्मित प्रवाह देता है:



संभावित एसक्यूएल इंजेक्शन के साथ फ्लो मिला। जैसा कि स्क्रीनशॉट से देखा जा सकता है, Checkmarx ने 3 फ्लो वापस किया। स्क्रीनशॉट में प्रवाह सबसे छोटा है, यह एक फ़ाइल और एक विधि में शुरू और समाप्त होता है। अगला फ़्लो सत्र वर्ग में पहले ही निकल जाता है। स्रोत / गंतव्य पर ध्यान दें। और अंतिम एक सत्र वर्ग में एक और तरीका है। सत्र के अंदर प्रवाह इस तरह दिखाई देगा:



एक प्रवाह का चयन करने के लिए, ReduceFlow विधि (CxList.ReduceFlowType flowType) का उपयोग किया जाता है , जहाँ flowType हो सकता है:

• CxList.ReduceFlowType.ReduceBigFlow - सबसे कम प्रवाह का चयन करें
• CxList.ReduceFlowType.ReduceSmallFlow - सबसे लंबे प्रवाह का चयन करें

SQLi: SQL इंजेक्शन खोजने के लिए अंतिम क्वेरी

 // 1.   CxList exclusionList = All.GetByClass(All.FindByName("*Session*")); // 2.    CxList sanitization = All.FindByName("*Long*"); // 3.    runSuperSecureSQLQuery() CxList runSuperSecureSQLQuery = All.FindByName("*runSuperSecureSQLQuery*").FindByType(typeof(MethodInvokeExpr)); runSuperSecureSQLQuery -= exclusionList; // 4.     runSuperSecureSQLQuery() CxList runSSSQParams = All.GetParameters(runSuperSecureSQLQuery); // 5.   ,     runSuperSecureSQLQuery() CxList entryPoints = runSuperSecureSQLQuery.GetAncOfType(typeof(MethodDecl)); CxList entryPointsParameters = All.GetParameters(entryPoints).FindByType("String"); // 6.       (runSuperSecureSQLQuery)     CxList dataInflOnTable = runSSSQParams.InfluencedByAndNotSanitized(entryPointsParameters, sanitization); // 7.   result = dataInflOnTable.ReduceFlow(CxList.ReduceFlowType.ReduceBigFlow); 

उदाहरण 2: असुरक्षित प्रत्यक्ष वस्तु संदर्भ खोजना

इस अनुरोध में, हम उन सभी स्थानों की खोज करेंगे, जहां ऑब्जेक्ट के मालिक की जांच के बिना वस्तुओं के साथ काम होता है। इस मामले में, मेलबॉक्स के लिए HTTP मापदंडों के विभिन्न नामों का उपयोग किया जा सकता है (हम मानते हैं कि यह लिगेसी है), और सत्यापन स्वयं विभिन्न चरणों में हो सकता है: कहीं न कहीं HTTP प्रविष्टि एपीआई बिंदु पर, कहीं डेटाबेस के अनुरोध से पहले, और कभी-कभी। मध्यवर्ती विधियों में।

खोज योजना

1. अपवादों ( बहिष्करण ) को परिभाषित करें;
2. प्राधिकरण जाँच ( idorSanitizer ) के लिए स्थानों को पहचानें;
3. प्रवेश बिंदु खोजें - HTTP अनुरोधों के प्राथमिक प्रसंस्करण के लिए स्थान ( webRemoteMethods );
4. केवल HTTP पैरामीटर मेलबॉक्स ( मेलबॉक्सडीनिट ) के निष्कर्षण स्थान को खोजने के लिए प्रवेश बिंदु टोकन द्वारा;
5. WebRemoteMethods से लेकर मिडिलवेयर विधियों और इन कॉल्स ( मिडिलवेयरमैथोड्स ) के मापदंडों तक सभी कॉल खोजें;
6. मिडलवेयर विधियों को खोजें जो मेलबॉक्सिड ( apiPotentialIDOR ) पर निर्भर करती हैं;
7. उन सभी स्थानों का पता लगाएं, जहां मिडलवेयर विधियों को परिभाषित किया गया है ( मिडलवेयरडेकल );
8. सभी apiPotentialIDOR से गुजरें और केवल उन मिडलवेयरडेक का चयन करें जिसमें मेलबॉक्स ऑब्जेक्ट के स्वामी का कोई सत्यापन नहीं है।

IDOR: चरण 1. अपवादों को पहचानें

इस स्थिति में, एक विशिष्ट फ़ाइल में सभी टोकन को बाहर करें:

 CxList exclusionList = All.FindByFileName("*WebMethodContext.java"); result = exclusionList; 

WebMethodContext.java में getMailboxId और getUserId जैसे तरीकों के कार्यान्वयन के साथ-साथ स्ट्रिंग "मेलबॉक्सिड" भी शामिल है। चूंकि टोकन का नाम उन लोगों के साथ मेल खाएगा, जिन्हें हमें कमजोरियों की खोज करने की आवश्यकता है, यह फ़ाइल गलत निष्कर्ष जारी करेगी।

IDOR: चरण 2. प्राधिकरण जाँच का पता लगाएँ

परीक्षण एप्लिकेशन में, मान्यलेटबॉक्स () विधि का उपयोग यह निर्धारित करने के लिए किया जाता है कि अनुरोधित वस्तु उपयोगकर्ता की है:

 CxList idorSanitizer = All.FindByName("*validateMailbox*"); result = idorSanitizer; 

परिणाम:

IDOR: चरण 3. कस्टम HTTP एपीआई अनुरोधों के लिए प्रवेश बिंदु खोजें

HTTP अनुरोध संचालकों के पास एक विशेष एनोटेशन है जो उन्हें ढूंढना आसान बनाता है। मेरे मामले में, यह "WebRemote" है; CMxQL फ़ंक्शन FindByCustomAttribute () का उपयोग एनोटेशन खोजने के लिए किया जाता है। FindByCustomAttribute () के लिए , मूल टोकन GetAncOfType () का खोज फ़ंक्शन एनोटेशन के तहत विधि लौटाएगा:

 CxList webRemoteMethods = All.FindByCustomAttribute("WebRemote") .GetAncOfType(typeof(MethodDecl)); result = webRemoteMethods; 

रिजल्ट का अनुरोध:

IDOR: चरण 4. केवल एंट्री पॉइंट टोकन का उपयोग करके, मेलबॉक्स पैरामीटर के लिए HTTP निष्कर्षण स्थान खोजें

HTTP मेलबॉक्सिड पैरामीटर के प्रसंस्करण से संबंधित टोकन खोजने के लिए:

 CxList getMailboxId = All.FindByName("\"mailboxId\"") + All.FindByName("\"mid\"") + All.FindByName("\"boxid\""); result = getMailboxId; 

हमने 3 सेटों को 3 अलग-अलग लाइनों के साथ जोड़ा, क्योंकि किंवदंती के अनुसार, सिस्टम के विभिन्न हिस्सों में HTTP पैरामीटर का नाम भिन्न हो सकता है।

क्वेरी उन सभी स्थानों पर मिलेगी जहां मेलबॉक्स / मध्य / बॉक्सिड को एक स्ट्रिंग के रूप में (दोहरे उद्धरण चिह्नों में) लिखा गया है। लेकिन यह क्वेरी बहुत सारे खोज, tk को लौटा देगी। ऐसी स्ट्रिंग न केवल उन स्थानों पर पाई जा सकती है जहां HTTP पैरामीटर निकाले जाते हैं। यदि हम इस सेट के साथ काम करना जारी रखते हैं, तो हमें भारी संख्या में झूठे मिल जाएंगे।

इसलिए, हम केवल प्रवेश बिंदु ( webRemoteMethods ) के टोकन की खोज करेंगे। सभी बच्चे के टोकन खोजने के लिए, CMBQL फ़ंक्शन GetByAncs () का उपयोग किया जाता है :

 result = All.GetByAncs(webRemoteMethods); 

अनुरोध WebRemote के रूप में एनोटेट किए गए तरीकों से संबंधित सभी टोकन लौटाएगा । पहले से ही इस स्तर पर, हम उन तरीकों के टोकन को फ़िल्टर कर सकते हैं जिसमें ऑब्जेक्ट के मालिक की जांच की जाती है। इसलिए, हम बच्चे के टोकन की खोज के लिए पिछली क्वेरी को इस तरह से फिर से लिखते हैं जैसे कि वेबरोट तरीकों के केवल बच्चे के टोकन का चयन करें, जहां ऑब्जेक्ट के मालिक के लिए कोई सुरक्षा जांच नहीं है। ऐसा करने के लिए, शर्त के साथ एक लूप का उपयोग करें:

 //          CxList entry_point_tokens = All.NewCxList(); //      webRemoteMethods foreach (CxList method in webRemoteMethods) { //        CxList method_tokens = All.GetByAncs(method); // ,       ,    owner if (method_tokens.FindByName(idorSanitizer).Count > 0) { //  ,     , ,     } else { //  ,         entry_point_tokens.Add(method_tokens); } } 

अब हम HTTP मेलबॉक्स मेलबॉक्स मापदंडों का उपयोग करके अधिक सटीक चयन कर सकते हैं:

 CxList getMailboxHTTPParams = entry_point_tokens.FindByName("\"mailboxid\"") + entry_point_tokens.FindByName("\"mid\"") + entry_point_tokens.FindByName("\"boxid\""); result = getMailboxHTTPParams; 

लेकिन हम उन स्थानों में रुचि नहीं रखते हैं जहां HTTP पैरामीटर पुनर्प्राप्त किए जाते हैं, लेकिन उन चर में जिन्हें अंततः HTTP मापदंडों के मूल्यों को सौंपा गया है। चूँकि चर के टोकन द्वारा फ्लो की खोज करना अधिक विश्वसनीय है।

CMxQL फ़ंक्शन FindByInitialization () दिए गए टोकन के लिए चर आरंभीकरण के स्थानों को ढूंढेगा :

 CxList mailboxidInit = entry_point_tokens.FindByInitialization(getMailboxHTTPParams); result = mailboxidInit; 

परिणाम:

IDOR: स्टेप 5. webRemoteMethods से लेकर मिडलवेयर मेथड और इन कॉल्स के मापदंडों तक सभी कॉल्स का पता लगाएं

मिडलवेयर द्वारा, मेरा मतलब है कि वह कोड जो HTTP API अनुरोधों के प्रसंस्करण के तरीकों से अधिक गहरा है, जो कि उपयोगकर्ता अनुरोधों के प्रवेश बिंदुओं से अधिक गहरा है। उदाहरण के लिए, ऊपर दिए गए स्क्रीनशॉट के लिए, ये उपयोगकर्ता वर्ग के तरीके हैं, user.getSettings () और user.getSecureSettings () के लिए कॉल:

 CxList middlewareMethods = All.FindByShortName("user").GetRightmostMember(); CxList middlewareMethodsParams = entry_point_tokens.GetParameters(middlewareMethods); result = middlewareMethodsParams; 

सबसे पहले, हम नाम उपयोगकर्ता के साथ सभी टोकन का चयन करते हैं, और फिर GetRightmostMember () का उपयोग करके हम मिडलवेयर के लिए कॉल टोकन का चयन करते हैं। विधि कॉल की श्रृंखला में GetRightmostMember () सबसे सही लौटाएगा। फिर हम गेटपामेटर्स () का उपयोग करके पाया विधि के मापदंडों को प्राप्त करते हैं।

परिणाम:

IDOR: स्टेप 6. मिडलवेयर विधियों को खोजें जो मेलबॉक्सिड पर निर्भर करती हैं

प्रवाह विश्लेषण * InfluencedBy * और * InfluncingOn * विधियों का उपयोग करता है। उनके बीच का अंतर नाम से स्पष्ट है।

उदाहरण के लिए:

 All.InfluencedBy(getMailboxHTTPParams) 

सेट के माध्यम से जाना होगा सभी और सभी टोकन प्राप्त करें जो getMailboxHTTPParams पर निर्भर करते हैं।

उसी को दूसरे तरीके से लिखा जा सकता है:

 getMailboxHTTPParams.InfluencingOn(All) 

मेलबॉक्सनिडिट पर निर्भर टोकन की खोज करने के लिए:

 CxList apiPotentialIDOR = entry_point_tokens.InfluencedByAndNotSanitized(mailboxidInit, idorSanitizer); result = apiPotentialIDOR; 

परिणाम:

IDOR: चरण 7. मिडिलवेयर विधियों को परिभाषित करने के लिए सभी स्थानों का पता लगाएं

आइए हम उन सभी मध्यवर्ती तरीकों की परिभाषाएँ खोजें जो उन स्थानों पर उपयोग किए जा सकते हैं जहाँ उपयोगकर्ता अनुरोध संसाधित होते हैं। ऐसा करने के लिए, हम उनकी सामान्य संपत्ति पर प्रकाश डालते हैं, उदाहरण के लिए, ऐसे सभी तरीकों में अनुरोध () ऑब्जेक्ट का निर्माण होता है, ऑब्जेक्ट का निर्माण CMx प्रकार ObjectCreateExpr :

 CxList requests = (All - exclusionList).FindByType(typeof(ObjectCreateExpr)).FindByName("*Request*"); CxList middlewareDecl = requests.GetAncOfType(typeof(MethodDecl)); result = middlewareDecl; 

(सभी - बहिष्करण) - आप सेट के इस घटाव को कर सकते हैं, और फिर परिणाम से वांछित CMxQL फ़ंक्शन को कॉल कर सकते हैं। अनुरोध में अब सभी टोकन होते हैं नाम के साथ अनुरोध और ऑब्जेक्ट के निर्माण के लिए इसी प्रकार।

अगला, परिचित GetAncOfType () का उपयोग करके , हम MethodDecl के मूल टोकन को खोजते हैं ।

परिणाम:

IDOR: चरण 8. सभी apiPotentialIDOR पर जाएं और केवल उन मिडलवेयरडेक का चयन करें जिसमें मेलबॉक्स ऑब्जेक्ट के स्वामी का कोई सत्यापन नहीं है

अनुरोध के अंतिम भाग में, हम यह निर्धारित करेंगे कि कौन से मिडलवेयर विधियों को सीधे प्रवेश बिंदु विधियों से बुलाया जाता है और यह मत जांचें कि मेलबॉक्स किसका है। फिर परिणामों के अधिक सुविधाजनक विश्लेषण के लिए फ्लो को मिलाएं।

नई सुविधाएँ जो हमने अभी तक उपयोग नहीं की हैं:
GetCxListByPath () - इस फ़ंक्शन को फ़्लो पर पुनरावृति करने की आवश्यकता है, यदि इसका उपयोग नहीं किया जाता है, तो CMx कोड एलीमेंट में फ़्लो को संपीड़ित करेगा (पहले फ़्लो नोड में)
संघटक * () - एक में कई प्रवाह के संयोजन के लिए आवश्यक कई कार्य
FindByParameters () - एक विशिष्ट पैरामीटर टोकन द्वारा एक विधि खोजें
GetName () - टोकन नाम के साथ एक स्ट्रिंग लौटाएगा, अगर CxList में एक से अधिक तत्व हैं, तो यह पहले वापस आ जाएगा। विधि का उपयोग केवल तब किया जाता है जब एक सेट के तत्वों पर पुनरावृत्ति होती है।

अनुरोध का अंतिम भाग:

 //    CxList vulns = All.NewCxList(); //   Flow  apiPotentialIDOR foreach(CxList cxFlow in apiPotentialIDOR.GetCxListByPath()) { //    Flow CxList endNode = cxFlow.GetStartAndEndNodes(CxList.GetStartEndNodesType.EndNodesOnly); //       flow (mailboxid) CxList method_call = entry_point_tokens.FindByParameters(endNode); //     CxList method_decl = middlewareDecl.FindByShortName(method_call.GetName()); //     if (method_decl.Count > 0) { //       CxList _all = (All - exclusionList).GetByAncs(method_decl); //       if (_all.FindByName(idorSanitizer).Count > 0) { //  ,       cxLog.WriteDebugMessage("find sanitized in method: " + method_call.GetName()); //  ,   Flow     vulns } else { //     Flow       vulns.Add(cxFlow.ConcatenatePath(method_call).ConcatenatePath(method_decl)); cxLog.WriteDebugMessage("find NOT sanitized in method: " + method_call.GetName()); } } } 

परिणाम:



CocatenatePath , . Code Element Flow

IDOR: IDOR

 // 1.   CxList exclusionList = All.FindByFileName("*WebMethodContext.java"); // 2.     CxList idorSanitizer = All.FindByName("*validateMailbox*"); // 3.    –    HTTP  CxList webRemoteMethods = All.FindByCustomAttribute("WebRemote").GetAncOfType(typeof(MethodDecl)); // 4.         HTTP  mailboxid //     CxList entry_point_tokens = All.NewCxList(); foreach (CxList method in webRemoteMethods) { CxList method_tokens = All.GetByAncs(method); if (method_tokens.FindByName(idorSanitizer).Count > 0) { } else { entry_point_tokens.Add(method_tokens); } } //    HTTP    -  CxList getMailboxHTTPParams = entry_point_tokens.FindByName("\"mailboxId\"") + entry_point_tokens.FindByName("\"mid\"") + entry_point_tokens.FindByName("\"boxid\""); CxList mailboxidInit = entry_point_tokens.FindByInitialization(getMailboxHTTPParams); // 5.      middleware     CxList middlewareMethods = All.FindByShortName("user").GetRightmostMember(); CxList middlewareMethodsParams = entry_point_tokens.GetParameters(middlewareMethods); // 6.  middleware ,     mailboxid CxList apiPotentialIDOR = entry_point_tokens.InfluencedByAndNotSanitized(mailboxidInit, idorSanitizer); // 7.      middleware      CxList requests = (All - exclusionList).FindByType(typeof(ObjectCreateExpr)).FindByName("*Request*"); CxList middlewareDecl = requests.GetAncOfType(typeof(MethodDecl)); // 8.    apiPotentialIDOR     middlewareDecl,      CxList vulns = All.NewCxList(); foreach(CxList cxFlow in apiPotentialIDOR.GetCxListByPath()) { CxList endNode = cxFlow.GetStartAndEndNodes(CxList.GetStartEndNodesType.EndNodesOnly); CxList method_call = entry_point_tokens.FindByParameters(endNode); CxList method_decl = middlewareDecl.FindByShortName(method_call.GetName()); if (method_decl.Count > 0) { CxList _all = (All - exclusionList).GetByAncs(method_decl); if (_all.FindByName(idorSanitizer).Count > 0) { cxLog.WriteDebugMessage("find sanitized in method: " + method_call.GetName()); } else { vulns.Add(cxFlow.ConcatenatePath(method_call).ConcatenatePath(method_decl)); cxLog.WriteDebugMessage("find NOT sanitized in method: " + method_call.GetName()); } } } result = vulns; 

निष्कर्ष

Checkmarx , . , , , .. Flow ( ). , , «» .

false positive, :

• , ( ).
• , ( ). , «Privacy Violation», , , Web UI. , .. UI . TLS XSS .
• - , (, ). , XXE , , - , .
• false positive, , CMxQL FindBy/GetBy. , ( SQL).
• false positives, , , , , CMx, . , LDAP , . c LDAP- , , .

how-to «hello world» , Checkmarx.