【缺陷周话】第50期：日志伪造

2023-11-30 21:33:05 AnQuanKeInfo 来源：ZONE.CI 全球网 0 阅读模式

1、日志伪造

当日志条目包含未经过授权的用户输入时，会造成日志伪造。攻击者可以通过向应用程序提供包含特殊字符的内容，在日志文件中插入错误的条目。当日志文件自动处理时会将恶意条目写入日志文件，错误的日志条目会破坏文件格式，可以由此掩盖攻击者的入侵轨迹。或者通过回车符和换行符构造输入，将合法的日志条目进行拆分。本文以JAVA语言源代码为例，分析“日志伪造”缺陷产生的原因以及修复方法。该缺陷的详细介绍请参见CWE ID 117: Improper Output Neutralization for Logs (http://cwe.mitre.org/data/definitions/117.html)。

2、日志伪造的危害

利用该漏洞可以跨越信任边界获取敏感数据，攻击者将脚本注入日志文件，在使用 Web 浏览器查看文件时，浏览器可以向攻击者提供管理员 Cookie 的副本，从而获得管理员的访问权限。

3、示例代码

3.1 缺陷代码

上述代码是根据用户登录状态进行判断并记录日志。在代码行第29行调用父类的 doGet() 方法，第30、31行获取请求参数 username 和 password。在第32~36行判断用户名密码是否正确，并输出相应的日志信息。当用户名输入合法时会正确记录日志。

例如：
INFO：User login succeeded for jack 或 INFO：User login failed for jack
当用户提供的字符串为：
jack%0a%0aINFO:+User+login+succeeded +for+tom
在日志记录中会记录下列条目：
INFO: User login failed for jack
INFO: User login succeeded for tom

此时在日志文件中产生了两条日志记录。使用代码卫士对上述示例代码进行检测，可以检出“日志伪造”缺陷，显示等级为中，从跟踪路径中可以分析出数据的污染源以及数据流向。在代码行第34、36行报出缺陷，如图1、图2所示：