I. 代码实现

1.1 输入验证

1.1.1【必须】按类型进行数据校验

  • 所有程序外部输入的参数值，应进行数据校验。校验内容包括但不限于：数据长度、数据范围、数据类型与格式。校验不通过，应拒绝。
  1. // bad：未进行输入验证
  2. Router.get("/vulxss", (req, res) => {
  3.     const { txt } = req.query;
  4.     res.set("Content-Type", "text/html");
  5.     res.send({
  6.         data: txt,
  7.     });
  8. });
  10. // good：按数据类型，进行输入验证
  11. const Router = require("express").Router();
  12. const validator = require("validator");
  14. Router.get("/email_with_validator", (req, res) => {
  15.     const txt = req.query.txt || "";
  16.     if (validator.isEmail(txt)) {
  17.         res.send({
  18.             data: txt,
  19.         });
  20.     } else {
  21.         res.send({ err: 1 });
  22.     }
  23. });

关联漏洞：纵深防护措施 - 安全性增强特性

1.2 执行命令

1.2.1 【必须】使用child_process执行系统命令，应限定或校验命令和参数的内容

  • 适用场景包括：child_process.exec, child_process.execSync, child_process.spawn, child_process.spawnSync, child_process.execFile, child_process.execFileSync

  • 调用上述函数，应首先考虑限定范围，供用户选择。

  • 使用child_process.exec或child_process.execSync时，如果可枚举输入的参数内容或者格式，则应限定白名单。如果无法枚举命令或参数，则必须过滤或者转义指定符号，包括：|;&$()><`!

  • 使用child_process.spawn 或child_process.execFile时，应校验传入的命令和参数在可控列表内。

  1. const Router = require("express").Router();
  2. const validator = require("validator");
  3. const { exec } = require('child_process');
  5. // bad：未限定或过滤，直接执行命令
  6. Router.get("/vul_cmd_inject", (req, res) => {
  7.     const txt = req.query.txt || "echo 1";
  8.     exec(txt, (err, stdout, stderr) => {
  9.         if (err) { res.send({ err: 1 }) }
  10.         res.send({stdout, stderr});
  11.     });
  12. });
  14. // good：通过白名单，限定外部可执行命令范围
  15. Router.get("/not_vul_cmd_inject", (req, res) => {
  16.     const txt = req.query.txt || "echo 1";
  17.   const phone = req.query.phone || "";
  18.     const cmdList = {
  19.         sendmsg: "./sendmsg "
  20.     };
  21.     if (txt in cmdList && validator.isMobilePhone(phone)) {
  22.         exec(cmdList[txt] + phone, (err, stdout, stderr) => {
  23.           if (err) { res.send({ err: 1 }) };
  24.           res.send({stdout, stderr});
  25.         });
  26.     } else {
  27.         res.send({
  28.             err: 1,
  29.             tips: `you can use '${Object.keys(cmdList)}'`,
  30.         });
  31.     }
  32. });
  34. // good：执行命令前，过滤/转义指定符号
  35. Router.get("/not_vul_cmd_inject", (req, res) => {
  36.     const txt = req.query.txt || "echo 1";
  37.   let phone = req.query.phone || "";
  38.     const cmdList = {
  39.         sendmsg: "./sendmsg "
  40.     };
  41.     phone = phone.replace(/(\||;|&|\$\(|\(|\)|>|<|\`|!)/gi,"");
  42.     if (txt in cmdList) {
  43.         exec(cmdList[txt] + phone, (err, stdout, stderr) => {
  44.           if (err) { res.send({ err: 1 }) };
  45.           res.send({stdout, stderr});
  46.         });
  47.     } else {
  48.         res.send({
  49.             err: 1,
  50.             tips: `you can use '${Object.keys(cmdList)}'`,
  51.         });
  52.     }
  53. });

关联漏洞：高风险 - 任意命令执行

1.3 文件操作

1.3.1 【必须】限定文件操作的后缀范围

  • 按业务需求，使用白名单限定后缀范围。

1.3.2 【必须】校验并限定文件路径范围

  • 应固定上传、访问文件的路径。若需要拼接外部可控变量值，检查是否包含..、.路径穿越字符。如存在，应拒绝。
  • 使用fs模块下的函数方法时，应对第一个参数即路径部分做校验，检查是否包含路径穿越字符.或..。涉及方法包括但不限于：fs.truncate、fs.truncateSync、fs.chown、fs.chownSync、fs.lchown、fs.lchownSync、fs.stat、fs.lchmodSync、fs.lstat、fs.statSync、fs.lstatSync、fs.readlink、fs.unlink、fs.unlinkSync、fs.rmdir、fs.rmdirSync、fs.mkdir、fs.mkdirSync、fs.readdir、fs.readdirSync、fs.openSync、fs.open、fs.createReadStream、fs.createWriteStream
  • 使用express框架的sendFile方法时，应对第一个参数即路径部分做校验，检查是否包含路径穿越字符.或..
  • 校验时，应使用path模块处理前的路径参数值，或判断处理过后的路径是否穿越出了当前工作目录。涉及方法包括但不限于：path.resolve、path.join、path.normalize等
  1. const fs = require("fs");
  2. const path = require("path");
  3. let filename = req.query.ufile;
  4. let root = '/data/ufile';
  6. // bad：未检查文件名/路径
  7. fs.readFile(root + filename, (err, data) => {
  8.     if (err) {
  9.         return console.error(err);
  10.     }
  11.     console.log(`异步读取: ${data.toString()}`);
  12. });
  14. // bad：使用path处理过后的路径参数值做校验，仍可能有路径穿越风险
  15. filename = path.join(root, filename);
  16. if (filename.indexOf("..") < 0) {
  17.     fs.readFile(filename, (err, data) => {
  18.         if (err) {
  19.             return console.error(err);
  20.         }
  21.         console.log(data.toString());
  22.     });
  23. };
  25. // good：检查了文件名/路径，是否包含路径穿越字符
  26. if (filename.indexOf("..") < 0) {
  27.     filename = path.join(root, filename);
  28.     fs.readFile(filename, (err, data) => {
  29.         if (err) {
  30.             return console.error(err);
  31.         }
  32.         console.log(data.toString());
  33.     });
  34. };

1.3.3 【必须】安全地处理上传文件名

  • 将上传文件重命名为16位以上的随机字符串保存。
  • 如需原样保留文件名，应检查是否包含..、.路径穿越字符。如存在，应拒绝。

1.3.4 【必须】敏感资源文件，应有加密、鉴权和水印等加固措施

  • 用户上传的身份证、银行卡等图片，属敏感资源文件，应采取安全加固。
  • 指向此类文件的URL，应保证不可预测性；同时，确保无接口会批量展示此类资源的URL。
  • 访问敏感资源文件时，应进行权限控制。默认情况下，仅用户可查看、操作自身敏感资源文件。
  • 图片类文件应添加业务水印，表明该图片仅可用于当前业务使用。

1.4 网络请求

1.4.1 【必须】限定访问网络资源地址范围

  • 应固定程序访问网络资源地址的协议、域名、路径范围。

  • 若业务需要，外部可指定访问网络资源地址，应禁止访问内网私有地址段及域名。

    1. // 以RFC定义的专有网络为例，如有自定义私有网段亦应加入禁止访问列表。
    2. 10.0.0.0/8
    3. 172.16.0.0/12
    4. 192.168.0.0/16
    5. 127.0.0.0/8

1.4.2 【推荐】请求网络资源，应加密传输

  • 应优先选用https协议请求网络资源

关联漏洞：高风险 - SSRF，高风险 - HTTP劫持

1.5 数据输出

1.5.1 【必须】高敏感信息禁止存储、展示

  • 口令、密保答案、生理标识等鉴权信息禁止展示
  • 非金融类业务，信用卡cvv码及日志禁止存储

1.5.2【必须】一般敏感信息脱敏展示

  • 身份证只显示第一位和最后一位字符，如：3*********************1
  • 移动电话号码隐藏中间6位字符，如：134***************48
  • 工作地址/家庭地址最多显示到区一级
  • 银行卡号仅显示最后4位字符，如：*********************8639

1.5.3 【推荐】返回的字段按业务需要输出

  • 按需输出，避免不必要的用户信息泄露
  • 用户敏感数据应在服务器后台处理后输出，不可以先输出到客户端，再通过客户端代码来处理展示

关联漏洞：高风险 - 用户敏感信息泄露

1.6 响应输出

1.6.1 【必须】设置正确的HTTP响应包类型

  • 响应头Content-Type与实际响应内容，应保持一致。如：API响应数据类型是json，则响应头使用application/json；若为xml，则设置为text/xml。

1.6.2 【必须】添加安全响应头

  • 所有接口、页面，添加响应头 X-Content-Type-Options: nosniff。
  • 所有接口、页面，添加响应头X-Frame-Options。按需合理设置其允许范围，包括：DENY、SAMEORIGIN、ALLOW-FROM origin。用法参考：MDN文档
  • 推荐使用组件： helmet

1.6.3 【必须】外部输入拼接到响应页面前，进行编码处理

场景 编码规则
输出点在HTML标签之间 需要对以下6个特殊字符进行HTML实体编码(&, <, >, “, ‘,/)。
示例：
& —> &amp;
< —> &lt;
>—> &gt;
“ —> &quot;
‘ —> &#x27;
/ —> &#x2F;
输出点在HTML标签普通属性内（如href、src、style等，on事件除外） 要对数据进行HTML属性编码。
编码规则：除了阿拉伯数字和字母，对其他所有的字符进行编码，只要该字符的ASCII码小于256。编码后输出的格式为&#xHH;(以&#x开头，HH则是指该字符对应的十六进制数字，分号作为结束符)
输出点在JS内的数据中 需要进行js编码
编码规则：
除了阿拉伯数字和字母，对其他所有的字符进行编码，只要该字符的ASCII码小于256。编码后输出的格式为 \xHH （以 \x 开头，HH则是指该字符对应的十六进制数字）
Tips：这种场景仅限于外部数据拼接在js里被引号括起来的变量值中。除此之外禁止直接将代码拼接在js代码中。
输出点在CSS中（Style属性） 需要进行CSS编码
编码规则：
除了阿拉伯数字和字母，对其他所有的字符进行编码，只要该字符的ASCII码小于256。编码后输出的格式为 \HH （以 \ 开头，HH则是指该字符对应的十六进制数字）
输出点在URL属性中 对这些数据进行URL编码
Tips：除此之外，所有链接类属性应该校验其协议。禁止JavaScript、data和Vb伪协议。

1.6.4 【必须】响应禁止展示物理资源、程序内部代码逻辑等敏感信息

  • 业务生产（正式）环境，应用异常时，响应内容禁止展示敏感信息。包括但不限于：物理路径、程序内部源代码、调试日志、内部账号名、内网ip地址等。
  1. // bad
  2. Access denied for user 'xxx'@'xx.xxx.xxx.162' (using password: NO)"

1.6.5 【推荐】添加安全纵深防御措施

  • 部署CSP，规则中应引入最新的严格模式特性nonce-
  1. // good：使用helmet组件安全地配置响应头
  2. const express = require("express");
  3. const helmet = require("helmet");
  4. const app = express();
  5. app.use(helmet());
  7. // good：正确配置Content-Type、添加了安全响应头，引入了CSP
  8. Router.get("/", (req, res) => {
  9.     res.header("Content-Type", "application/json");
  10.     res.header("X-Content-Type-Options", "nosniff");
  11.     res.header("X-Frame-Options", "SAMEORIGIN");
  12.     res.header("Content-Security-Policy", "script-src 'self'");
  13. });

关联漏洞：中风险 - XSS、中风险 - 跳转漏洞

1.7 执行代码

1.7.1 【必须】安全的代码执行方式

  • 禁止使用 eval 函数
  • 禁止使用new Function("input")() 来创建函数
  • 使用 setInteval，setTimeout，应校验传入的参数

关联漏洞：高风险 - 代码执行漏洞

1.8 Web跨域

1.8.1 【必须】限定JSONP接口的callback字符集范围

  • JSONP接口的callback函数名为固定白名单。如callback函数名可用户自定义，应限制函数名仅包含 字母、数字和下划线。如：[a-zA-Z0-9_-]+

1.8.2 【必须】安全的CORS配置

  • 使用CORS，应对请求头Origin值做严格过滤、校验。具体来说，可以使用“全等于”判断，或使用严格的正则进行判断。如：^https://domain\.qq\.com$
  1. // good：使用全等于，校验请求的Origin
  2. if (req.headers.origin === 'https://domain.qq.com') {
  3.     res.setHeader('Access-Control-Allow-Origin', req.headers.origin);
  4.     res.setHeader('Access-Control-Allow-Credentials', true);
  5. }

关联漏洞：中风险 - XSS，中风险 - CSRF，中风险 - CORS配置不当

1.9 SQL操作

1.9.1 【必须】SQL语句默认使用预编译并绑定变量

  • 应使用预编译绑定变量的形式编写sql语句，保持查询语句和数据相分离

    1. // bad：拼接SQL语句查询，存在安全风险
    2. const mysql  = require("mysql");
    3. const connection = mysql.createConnection(options);
    4. connection.connect();
    6. const sql = util.format("SELECT * from some_table WHERE Id = %s and Name = %s", req.body.id, req.body.name);
    7. connection.query(sql, (err, result) => {
    8.     // handle err..
    9. });  
    11. // good：使用预编译绑定变量构造SQL语句
    12. const mysql  = require("mysql");
    13. const connection = mysql.createConnection(options);
    14. connection.connect();
    16. const sql = "SELECT * from some_table WHERE Id = ? and Name = ?";
    17. const sqlParams = [req.body.id, req.body.name];
    18. connection.query(sql, sqlParams, (err, result) => {
    19.     // handle err..
    20. });

  • 对于表名、列名等无法进行预编译的场景，如：__user_input__ 拼接到比如 limit, order by, group by , from tablename语句中。请使用以下方法：

    方案1：使用白名单校验表名/列名

    1. // good
    2. const tableSuffix = req.body.type;
    3. if (["expected1", "expected2"].indexOf(tableSuffix) < 0) {
    4.     // 不在表名白名单中，拒绝请求
    5.     return ;
    6. }
    7. const sql = `SELECT * from t_business_${tableSuffix}`;
    8. connection.query(sql, (err, result) => {
    9.     // handle err..
    10. });

    方案2：使用反引号包裹表名/列名，并过滤 __user_input__ 中的反引号

    1. // good
    2. let { orderType } = req.body;
    3. // 过滤掉__user_input__中的反引号
    4. orderType = orderType.replace("`", "");
    5. const sql = util.format("SELECT * from t_business_feeds order by `%s`", orderType);
    6. connection.query(sql, (err, result) => {
    7.     // handle err..
    8. });

    方案3：将 __user_input__ 转换为整数

    1. // good
    2. let { orderType } = req.body;
    3. // 强制转换为整数
    4. orderType = parseInt(orderType, 10);
    5. const sql = `SELECT * from t_business_feeds order by ${orderType}`;
    6. connection.query(sql, (err, result) => {
    7.     // handle err..
    8. });

1.9.2 【必须】安全的ORM操作

  • 使用安全的ORM组件进行数据库操作。如 sequelize 等

  • 禁止__user_input__以拼接的方式直接传入ORM的各类raw方法

  1. //bad: adonisjs ORM
  2. //参考：https://adonisjs.com/docs/3.2/security-introduction#_sql_injection
  3. const username = request.param("username");
  4. const users = yield Database
  5.   .table("users")
  6.   .where(Database.raw(`username = ${username}`));
  8. //good: adonisjs ORM
  9. const username = request.param("username");
  10. const users = yield Database
  11.   .table('users')
  12.   .where(Database.raw("username = ?", [username]));
  • 使用ORM进行Update/Insert操作时，应限制操作字段范围
  1. /*
  2. good
  3. 假设该api用于插入用户的基本信息，使用传入的req.body通过Sequelize的create方法实现
  4. 假设User包含字段：username,email,isAdmin，
  5. 其中,isAdmin将会用于是否系统管理员的鉴权，默认值为false
  6. */
  7. // Sequelize: 只允许变更username、email字段值
  8. User.create(req.body, { fields: ["username", "email"] }).then((user) => {
  9.     // handle the rest..
  10. });

为什么要这么做？ 在上述案例中，若不限定fields值，攻击者将可传入{"username":"boo","email":"foo@boo.com","isAdmin":true}将自己变为Admin，产生垂直越权漏洞。

关联漏洞：高风险 - SQL注入，中风险 - Mass Assignment 逻辑漏洞

1.10 NoSQL操作

1.10.1 【必须】校验参数值类型

  • 将HTTP参数值代入NoSQL操作前，应校验类型。如非功能需要，禁止对象（Object）类型传入。
  1. // bad：执行NOSQL操作前，未作任何判断
  2. app.post("/", (req, res) => {
  3.     db.users.find({ username: req.body.username, password: req.body.password }, (err, users) => {
  4.     // **TODO:** handle the rest
  5.     });
  6. });
  8. // good：在进入nosql前先判断`__USER_INPUT__`是否为字符串。
  9. app.post("/", (req, res) => {
  10.     if (req.body.username && typeof req.body.username !== "string") {
  11.         return new Error("username must be a string");
  12.     }
  13.     if (req.body.password && typeof req.body.password !== "string") {
  14.         return new Error("password must be a string");
  15.     }
  16.     db.users.find({ username: req.body.username, password: req.body.password }, (err, users) => {
  17.         // **TODO:** handle the rest
  18.     });
  19. });

为什么要这么做？

JavaScript中，从http或socket接收的数据可能不是单纯的字符串，而是被黑客精心构造的对象(Object)。在本例中：

  • 期望接收的POST数据：username=foo&password=bar
  • 期望的等价条件查询sql语句：select * from users where username = 'foo' and password = 'bar'
  • 黑客的精心构造的攻击POST数据：username[$ne]=null&password[$ne]=null或JSON格式：{"username": {"$ne": null},"password": {"$ne": null}}
  • 黑客篡改后的等价条件查询sql语句：select * from users where username != null & password != null
  • 黑客攻击结果：绕过正常逻辑，在不知道他人的username/password的情况登录他人账号。

1.10.2 【必须】NoSQL操作前，应校验权限/角色

  • 执行NoSQL增、删、改、查逻辑前，应校验权限
  1. // 使用express、mongodb(mongoose)实现的删除文章demo
  2. // bad：在删除文章前未做权限校验
  3. app.post("/deleteArticle", (req, res) => {
  4.     db.articles.deleteOne({ article_id: req.body.article_id }, (err, users) => {
  5.         // TODO: handle the rest
  6.     });
  7. });
  9. // good：进入nosql语句前先进行权限校验
  10. app.post("/deleteArticle", (req, res) => {
  11.     checkPriviledge(ctx.uin, req.body.article_id);
  12.     db.articles.deleteOne({ article_id: req.body.article_id }, (err, users) => {
  13.         // TODO: handle the rest
  14.     });
  15. });

关联漏洞：高风险 - 越权操作，高风险 - NoSQL注入

1.11 服务器端渲染（SSR）

1.11.1 【必须】安全的Vue服务器端渲染(Vue SSR)

  • 禁止直接将不受信的外部内容传入{{{ data }}}表达式中

  • 模板内容禁止被污染

  1. // bad: 将用户输入替换进模板
  2. const app = new Vue({
  3.     template: appTemplate.replace("word", __USER_INPUT__),
  4. });
  5. renderer.renderToString(app);
  • 对已渲染的HTML文本内容（renderToString后的html内容）。如需再拼不受信的外部输入，应先进行安全过滤，具体请参考1.6.3
  1. // bad: 渲染后的html再拼接不受信的外部输入
  2. return new Promise(((resolve) => {
  3.     renderer.renderToString(component, (err, html) => {
  4.         let htmlOutput = html;
  5.         htmlOutput += `${__USER_INPUT__}`;
  6.         resolve(htmlOutput);
  7.     });
  8. }));

1.11.2 【必须】安全地使用EJS、LoDash、UnderScore进行服务器端渲染

  • 使用render函数时，模板内容禁止被污染

    lodash.Template:

    1. // bad: 将用户输入送进模板
    2. const compiled = _.template(`<b>${__USER_INPUT__}<%- value %></b>`);
    3. compiled({ value: "hello" });

    ejs:

    1. // bad: 将用户输入送进模板
    2. const ejs = require("ejs");
    3. const people = ["geddy", "neil", "alex"];
    4. const html = ejs.render(`<%= people.join(", "); %>${__USER_INPUT__}`, { people });

  • Ejs、LoDash、UnderScore提供的HTML插值模板默认形似<%= data %>，尽管在默认情况下<%= data %>存在过滤，在编写HTML插值模板时需注意:

    1. 用户输入流入html属性值时，必须使用双引号包裹：<base data-id = "<%= __USER_INPUT__ %>">
    2. 用户输入流入<script></script>标签或on*的html属性中时，如<script>var id = <%= __USER_INPUT__ %></script> ，须按照1.6.3中的做法或白名单方法进行过滤，框架/组件的过滤在此处不起作用

1.11.3 【必须】在自行实现状态存储容器并将其JSON.Stringify序列化后注入到HTML时，必须进行安全过滤

1.12 URL跳转

1.12.1【必须】限定跳转目标地址

  • 适用场景包括：
  1. 使用30x返回码并在Header中设置Location进行跳转
  2. 在返回页面中打印<script>location.href=__Redirection_URL__</script>
  • 使用白名单，限定重定向地址的协议前缀（默认只允许HTTP、HTTPS）、域名（默认只允许公司根域），或指定为固定值；
  1. // 使用express实现的登录成功后的回调跳转页面
  3. // bad: 未校验页面重定向地址
  4. app.get("/login", (req, res) => {
  5.     // 若未登录用户访问其他页面，则让用户导向到该处理函数进行登录
  6.   // 使用参数loginCallbackUrl记录先前尝试访问的url，在登录成功后跳转回loginCallbackUrl:
  7.     const { loginCallbackUrl } = req.query;
  8.     if (loginCallbackUrl) {
  9.         res.redirect(loginCallbackUrl);
  10.     }
  11. });
  13. // good: 白名单限定重定向地址
  14. function isValidURL(sUrl) {
  15.     return !!((/^(https?:\/\/)?[\w\-.]+\.(qq|tencent)\.com($|\/|\\)/i).test(sUrl) || (/^[\w][\w/.\-_%]+$/i).test(sUrl) || (/^[/\\][^/\\]/i).test(sUrl));
  16. }
  17. app.get("/login", (req, res) => {
  18.     // 若未登录用户访问其他页面，则让用户导向到该处理函数进行登录
  19.   // 使用参数loginCallbackUrl记录先前尝试访问的url，在登录成功后跳转回loginCallbackUrl:
  20.     const { loginCallbackUrl } = req.query;
  21.     if (loginCallbackUrl && isValidUrl(loginCallbackUrl)) {
  22.         res.redirect(loginCallbackUrl);
  23.     }
  24. });
  26. // good: 白名单限定重定向地址，通过返回html实现
  27. function isValidURL(sUrl) {
  28.     return !!((/^(https?:\/\/)?[\w\-.]+\.(qq|tencent)\.com($|\/|\\)/i).test(sUrl) || (/^[\w][\w/.\-_%]+$/i).test(sUrl) || (/^[/\\][^/\\]/i).test(sUrl));
  29. }
  30. app.get("/login", (req, res) => {
  31.     // 若未登录用户访问其他页面，则让用户导向到该处理函数进行登录
  32.   // 使用参数loginCallbackUrl记录先前尝试访问的url，在登录成功后跳转回loginCallbackUrl:
  33.     const { loginCallbackUrl } = req.query;
  34.     if (loginCallbackUrl && isValidUrl(loginCallbackUrl)) {
  35.         // 使用encodeURI，过滤左右尖括号与双引号，防止逃逸出包裹的双引号
  36.         const redirectHtml = `<script>location.href = "${encodeURI(loginCallbackUrl)}";</script>`;
  37.         res.end(redirectHtml);
  38.     }
  39. });

关联漏洞：中风险 - 任意URL跳转漏洞

1.13 Cookie与登录态

1.13.1【推荐】为Cookies中存储的关键登录态信息添加http-only保护

关联漏洞：纵深防护措施 - 安全性增强特性