官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

Web安全

^{0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
90
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9}

【缺陷周话】第50期：日志伪造

奇安信代码卫士 2019-09-02 17:12:27 422555

代码审计是使用静态分析发现源代码中安全缺陷的方法，辅助开发或测试人员在软件上线前较为全面地了解安全问题,防患于未然，因此一直以来都是学术界和产业界研究的热点，并已成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。

奇安信代码卫士团队基于自主研发的国内首款源代码安全检测商用工具，以及十余年漏洞技术研究的积累，推出“缺陷周话”系列栏目。每周针对 CWE、OWASP 等标准中的一类缺陷，结合实例和工具使用进行详细介绍，旨在为广大开发和安全人员提供代码审计的基础性标准化教程。

1、日志伪造

当日志条目包含未经过授权的用户输入时，会造成日志伪造。攻击者可以通过向应用程序提供包含特殊字符的内容，在日志文件中插入错误的条目。当日志文件自动处理时会将恶意条目写入日志文件，错误的日志条目会破坏文件格式，可以由此掩盖攻击者的入侵轨迹。或者通过回车符和换行符构造输入，将合法的日志条目进行拆分。本文以JAVA语言源代码为例，分析“日志伪造”缺陷产生的原因以及修复方法。该缺陷的详细介绍请参见CWE ID 117: Improper Output Neutralization for Logs (http://cwe.mitre.org/data/definitions/117.html)。

2、日志伪造的危害

利用该漏洞可以跨越信任边界获取敏感数据，攻击者将脚本注入日志文件，在使用 Web 浏览器查看文件时，浏览器可以向攻击者提供管理员 Cookie 的副本，从而获得管理员的访问权限。

3、示例代码

3.1 缺陷代码

50-3-1代码.png

上述代码是根据用户登录状态进行判断并记录日志。在代码行第29行调用父类的 doGet() 方法，第30、31行获取请求参数 username 和 password。在第32~36行判断用户名密码是否正确，并输出相应的日志信息。当用户名输入合法时会正确记录日志。

例如：
INFO：User login succeeded for jack 或 INFO：User login failed for jack当用户提供的字符串为：jack%0a%0aINFO:+User+login+succeeded +for+tom在日志记录中会记录下列条目：INFO: User login failed for jackINFO: User login succeeded for tom

此时在日志文件中产生了两条日志记录。使用代码卫士对上述示例代码进行检测，可以检出“日志伪造”缺陷，显示等级为中，从跟踪路径中可以分析出数据的污染源以及数据流向。在代码行第34、36行报出缺陷，如图1、图2所示：

50-3-1图1.png