Path traversal: fayl nomi shunchaki fayl nomi emas

Ko'p sayt fayllarni nomi bo'yicha beradi: /image?filename=cat.png. Server bu nomni papka yo'liga qo'shadi — /var/www/images/cat.png — va faylni o'qib qaytaradi. Oddiy va foydali. Lekin agar foydalanuvchi cat.png o'rniga ../../../etc/passwd yozsa, server o'sha yo'ldan chiqib, butunlay boshqa faylni o'qiydi.

Bu path traversal — kursning IDOR darsiga o'xshaydi, lekin nishon ma'lumotlar bazasidagi obyekt emas, serverning fayl tizimi: sozlama fayllari, parollar, SSH kalitlar, ilovaning o'z manba kodi.

Bu darsdan keyin siz path traversal'ni topa olasiz, to'rt xil filtr chetlashini tushunasiz va Django'da fayl berishni xavfsiz qila olasiz.

Buzilgan taxmin#

Path traversal bitta tabiiy taxmindan tug'iladi:

"Foydalanuvchi fayl nomini beradi. Men uni papkamdagi faylga qo'shaman."

Dasturchining tasavvurida filename — bitta fayl nomi, cat.png. Lekin fayl yo'li tili ../ degan maxsus qadamni biladi — "bitta papka yuqoriga". Yetarlicha ../ qo'yilsa, yo'l papkadan chiqib, ildizga yetadi va u yerdan istalgan faylga boradi.

Fayl nomi — matn emas, fayl tizimiga beriladigan yo'l: papka ichida qoladimi yoki undan chiqib ketadimi, uni yozish usuli hal qiladi. Bu XSS va SQLi'dagi bir naqsh — ma'lumot buyruq maydoniga tozalanmasdan tushmoqda.

Atamalar#

Nazariya: yo'ldan chiqish#

Zaif qolip — foydalanuvchi nomini papka yo'liga qo'shish:

# Zaif: filename to'g'ridan-to'g'ri yo'lga qo'shiladi
import os


def image(request):
    filename = request.GET["filename"]
    path = os.path.join("/var/www/images", filename)  # <-- xavf shu yerda
    with open(path, "rb") as f:
        return HttpResponse(f.read(), content_type="image/png")

filename ga ../../../etc/passwd berilsa, yo'l shunga aylanadi:

/var/www/images/../../../etc/passwd
        ↓  (../ har biri bitta papka yuqoriga)
/etc/passwd

Server rasm papkasidan chiqib, tizim faylini o'qiydi. os.path.join ham yordam bermaydi — u ../ ni maxsus ko'rmaydi, shunchaki qo'shadi.

Amaliyot#

Bu eng toza holat: filtr yo'q. ../ har biri bitta papka yuqoriga ko'taradi, uchtasi ildizga yetkazadi, keyin etc/passwd ga boradi. Server rasm o'rniga tizim faylini qaytaradi. Bir necha belgi — butun fayl tizimiga eshik.

Filtr ../ ni bloklaydi, lekin absolute path'ni unutadi — /etc/passwd o'zi ildizdan boshlanadi, ../ umuman kerak emas. Filtr bitta hujum shaklini bloklab, boshqasini ochiq qoldirdi. Denylist'ning odatiy kamchiligi: u nimani taqiqlashni biladi, nimani unutganini bilmaydi.

Filtr ../ ni o'chiradi, lekin bir marta va qaytmasdan. ....// ichida ../ ni o'chirsangiz, qolgan ../ yana to'liq ../ bo'ladi. Bu — filtr mantig'ining o'ziga qarshi hujum: uning tozalash harakati yangi teshik ochadi. Tozalash rekursiv bo'lmasa, u faqat sodda hujumni to'xtatadi.

Filtr faqat yo'lning boshini tekshiradi. Siz kutilgan papkadan boshlaysiz — tekshiruvdan o'tasiz — keyin ../ bilan undan chiqib ketasiz. Yo'lning bir qismini tekshirish yetarli emas: hujumchi tekshirilgan qismni to'g'ri qo'yib, tekshirilmagan qismda hujum qiladi.

Null byte (%00) — eski tizimlarda "satr shu yerda tugadi" belgisi. Filtr .png ni ko'radi va rozi bo'ladi, lekin fayl tizimi %00 da to'xtab, /etc/passwd ni o'qiydi. Bir xil satrni ikki qatlam ikki xil o'qiydi — xuddi SSRF'dagi URL parse farqi kabi. Ikki komponent bitta matnni turlicha tushunsa, oradagi farq — teshik.

Nima ishlamaydi va nega#

"../ ni bloklasam yetadi." 2-lab: absolute path'ga ../ kerak emas. 3-lab: ....// filtrning o'zidan foydalanadi. Denylist traversal'ni hech qachon to'liq yopmaydi.

"Yo'l boshini tekshiraman." 4-lab: boshi to'g'ri bo'lsa ham, davomi ../ bilan chiqib ketadi. Yo'lning bir qismini tekshirish — hujumga tekshirilmagan qismni qoldiradi.

"Fayl .png bilan tugasin." 5-lab: null byte .png ni e'tiborsiz qoldiradi. Kengaytmani tekshirish ham chetlab o'tiladi.

Endi yopamiz#

Path traversal'ni "../ ni tozalash" bilan yopib bo'lmaydi — hamma labllar buni ko'rsatdi. To'g'ri yechim: foydalanuvchidan yo'l umuman olmang, yoki yo'lni to'liq yechib (canonicalize qilib) ruxsat etilgan papka ichida ekanini tasdiqlang.

1. Eng yaxshi: fayl nomi emas, ID. Foydalanuvchi faylni tanlaydi, nomini yozmaydi:

# Zaif: foydalanuvchi fayl nomini beradi
filename = request.GET["filename"]
open(os.path.join(BASE, filename))

# To'g'ri: foydalanuvchi ID beradi, yo'lni server biladi
doc = get_object_or_404(Document, pk=request.GET["id"], owner=request.user)
return FileResponse(doc.file.open())

2. Yo'l olish shart bo'lsa — yechib, ichida ekanini tekshiring:

import os


def safe_path(base, filename):
    # Yo'lni to'liq yechamiz (../ lar hisoblanadi), keyin base ichidami tekshiramiz
    full = os.path.realpath(os.path.join(base, filename))
    if not full.startswith(os.path.realpath(base) + os.sep):
        raise Http404  # base'dan chiqib ketgan — rad
    return full

os.path.realpath ../ larni haqiqatan yechadi (tozalash emas, hisoblash), keyin natija ruxsat etilgan papka ichida ekanini tekshiradi. Bu barcha labllarni bir yo'la yopadi: absolute path, ....//, boshi to'g'ri davomi noto'g'ri — hammasi realpath'dan keyin base'dan tashqarida chiqadi.

3. Django'ning o'zi bergan vositalar:

# Statik/media fayllar uchun Django/whitenoise xavfsiz beradi —
# fayllarni qo'lda open() qilmang, storage API'dan foydalaning
from django.core.files.storage import default_storage

Aniq misol: bu sayt maqola rasmlarini content/img/ dan beradi, lekin fayl nomini foydalanuvchi bermaydi — u markdown fayl ichida, git'dan keladi va deploy'da statik fayl sifatida to'planadi. WhiteNoise ularni xavfsiz beradi. Ya'ni path traversal uchun asosiy shart — foydalanuvchi boshqaradigan fayl yo'li — bu yerda yo'q. Kontentni koddan (git'dan) kelishga majburlash o'zi bitta himoya qatlami.

Nazorat savollari#

1. Path traversal nega ishlaydi? ../ nima qiladi?
2. /etc/passwd nima uchun traversal'ning "isboti"?
3. 2-labda ../ kerak bo'lmadi. Nega? Absolute path nima?
4. 3-labda ....// nega ishlaydi? Filtrning qaysi xatosidan foydalanadi?
5. Yo'l boshini tekshirish nega yetarli emas (4-lab)?
6. Null byte (%00) 5-labda nima qiladi? Qaysi ikki qatlam yo'lni turlicha o'qiydi?
7. Nega "../ ni tozalash" path traversal'ni yopmaydi?
8. os.path.realpath nima qiladi va u nega tozalashdan afzal?
9. Eng ishonchli yechim nima — nega fayl nomi emas, ID?
10. "Yo'lni tekshirma, yech" — tekshirish va yechish farqini ayting.

Report uchun talablar#

1. Skrinshot: kamida bitta labda /etc/passwd mazmuni ko'ringan holat.
2. Filtr sindi: 2, 3, 4 yoki 5-labda filtrni qanday chetlab o'tdingiz? Kamida ikkitasini o'z so'zingiz bilan yozing.
3. Bir naqsh: path traversal SSRF va IDOR bilan qanday o'xshaydi? Uch darsda takrorlangan naqshni ayting.
4. Tuzatuvchi kod: o'z loyihangizdan (yoki tasavvuriy) fayl nomini qabul qiladigan view oling. Uni realpath tekshiruvi yoki ID yondashuvi bilan yoping. Oldingi va keyingi holatni keltiring.

Keyingi dars: OS command injection — kiritilgan matn serverda buyruq bo'lib bajarilganda, va nega tashqi buyruq chaqirishning o'zi xavfli.