জিপ পাথ ট্রাভার্সাল
সেভ করা পৃষ্ঠা গুছিয়ে রাখতে 'সংগ্রহ' ব্যবহার করুন
আপনার পছন্দ অনুযায়ী কন্টেন্ট সেভ করুন ও সঠিক বিভাগে রাখুন।
OWASP বিভাগ: MASVS-স্টোরেজ: স্টোরেজ
ওভারভিউ
জিপ পাথ ট্রাভার্সাল দুর্বলতা, যা জিপস্লিপ নামেও পরিচিত, সংকুচিত আর্কাইভগুলি পরিচালনার সাথে সম্পর্কিত। এই পৃষ্ঠায়, আমরা একটি উদাহরণ হিসাবে ZIP বিন্যাস ব্যবহার করে এই দুর্বলতা প্রদর্শন করি, কিন্তু TAR, RAR, বা 7z এর মতো অন্যান্য বিন্যাস পরিচালনাকারী লাইব্রেরিতেও একই ধরনের সমস্যা দেখা দিতে পারে।
এই সমস্যার অন্তর্নিহিত কারণ হল জিপ আর্কাইভের ভিতরে, প্রতিটি প্যাক করা ফাইল একটি সম্পূর্ণ যোগ্য নামের সাথে সংরক্ষণ করা হয়, যা স্ল্যাশ এবং ডটগুলির মতো বিশেষ অক্ষরগুলির অনুমতি দেয়। java.util.zip
প্যাকেজ থেকে ডিফল্ট লাইব্রেরি ডিরেক্টরি ট্রাভার্সাল অক্ষরগুলির জন্য সংরক্ষণাগার এন্ট্রিগুলির নাম পরীক্ষা করে না ( ../
), তাই লক্ষ্যযুক্ত ডিরেক্টরি পাথের সাথে সংরক্ষণাগার থেকে বের করা নামটি সংযুক্ত করার সময় বিশেষ যত্ন নেওয়া উচিত .
বাহ্যিক উত্স থেকে যেকোনো জিপ-এক্সট্র্যাক্টিং কোড স্নিপেট বা লাইব্রেরি যাচাই করা খুবই গুরুত্বপূর্ণ। এই ধরনের অনেক লাইব্রেরি জিপ পাথ ট্রাভার্সালের জন্য ঝুঁকিপূর্ণ।
প্রভাব
জিপ পাথ ট্রাভার্সাল দুর্বলতা নির্বিচারে ফাইল ওভাররাইট অর্জন করতে ব্যবহার করা যেতে পারে। অবস্থার উপর নির্ভর করে, প্রভাব পরিবর্তিত হতে পারে, তবে অনেক ক্ষেত্রে এই দুর্বলতাটি কোড সম্পাদনের মতো বড় নিরাপত্তা সমস্যাগুলির দিকে নিয়ে যেতে পারে।
প্রশমন
এই সমস্যাটি প্রশমিত করার জন্য, প্রতিটি এন্ট্রি বের করার আগে, আপনার সর্বদা যাচাই করা উচিত যে লক্ষ্য পথটি গন্তব্য ডিরেক্টরির একটি শিশু। নীচের কোডটি অনুমান করে যে গন্তব্য ডিরেক্টরিটি নিরাপদ - শুধুমাত্র আপনার অ্যাপ দ্বারা লিখতে পারে এবং আক্রমণকারীর নিয়ন্ত্রণে নয় - অন্যথায় আপনার অ্যাপ সিমলিংক আক্রমণের মতো অন্যান্য দুর্বলতার ঝুঁকিতে পড়তে পারে৷
কোটলিন
companion object {
@Throws(IOException::class)
fun newFile(targetPath: File, zipEntry: ZipEntry): File {
val name: String = zipEntry.name
val f = File(targetPath, name)
val canonicalPath = f.canonicalPath
if (!canonicalPath.startsWith(
targetPath.canonicalPath + File.separator)) {
throw ZipException("Illegal name: $name")
}
return f
}
}
জাভা
public static File newFile(File targetPath, ZipEntry zipEntry) throws IOException {
String name = zipEntry.getName();
File f = new File(targetPath, name);
String canonicalPath = f.getCanonicalPath();
if (!canonicalPath.startsWith(targetPath.getCanonicalPath() + File.separator)) {
throw new ZipException("Illegal name: " + name);
}
return f;
}
দুর্ঘটনাক্রমে বিদ্যমান ফাইলগুলিকে ওভাররাইট করা এড়াতে, নিষ্কাশন প্রক্রিয়া শুরু করার আগে আপনাকে নিশ্চিত করতে হবে যে গন্তব্য ডিরেক্টরিটি খালি রয়েছে। অন্যথায় আপনি সম্ভাব্য অ্যাপ ক্র্যাশ বা চরম ক্ষেত্রে, একটি অ্যাপ্লিকেশন আপস ঝুঁকি.
কোটলিন
@Throws(IOException::class)
fun unzip(inputStream: InputStream?, destinationDir: File) {
if (!destinationDir.isDirectory) {
throw IOException("Destination is not a directory.")
}
val files = destinationDir.list()
if (files != null && files.isNotEmpty()) {
throw IOException("Destination directory is not empty.")
}
ZipInputStream(inputStream).use { zipInputStream ->
var zipEntry: ZipEntry
while (zipInputStream.nextEntry.also { zipEntry = it } != null) {
val targetFile = File(destinationDir, zipEntry.name)
// ...
}
}
}
জাভা
void unzip(final InputStream inputStream, File destinationDir)
throws IOException {
if(!destinationDir.isDirectory()) {
throw IOException("Destination is not a directory.");
}
String[] files = destinationDir.list();
if(files != null && files.length != 0) {
throw IOException("Destination directory is not empty.");
}
try (ZipInputStream zipInputStream = new ZipInputStream(inputStream)) {
ZipEntry zipEntry;
while ((zipEntry = zipInputStream.getNextEntry()) != null) {
final File targetFile = new File(destinationDir, zipEntry);
…
}
}
}
সম্পদ
{% শব্দার্থে %}
{% endverbatim %} আপনার জন্য প্রস্তাবিত
- দ্রষ্টব্য: জাভাস্ক্রিপ্ট বন্ধ থাকলে লিঙ্ক টেক্সট প্রদর্শিত হয়
- পাথ ট্রাভার্সাল
{% শব্দার্থে %} {% endverbatim %}
এই পৃষ্ঠার কন্টেন্ট ও কোডের নমুনাগুলি Content License-এ বর্ণিত লাইসেন্সের অধীনস্থ। Java এবং OpenJDK হল Oracle এবং/অথবা তার অ্যাফিলিয়েট সংস্থার রেজিস্টার্ড ট্রেডমার্ক।
2025-07-29 UTC-তে শেষবার আপডেট করা হয়েছে।
[[["সহজে বোঝা যায়","easyToUnderstand","thumb-up"],["আমার সমস্যার সমাধান হয়েছে","solvedMyProblem","thumb-up"],["অন্যান্য","otherUp","thumb-up"]],[["এতে আমার প্রয়োজনীয় তথ্য নেই","missingTheInformationINeed","thumb-down"],["খুব জটিল / অনেক ধাপ","tooComplicatedTooManySteps","thumb-down"],["পুরনো","outOfDate","thumb-down"],["অনুবাদ সংক্রান্ত সমস্যা","translationIssue","thumb-down"],["নমুনা / কোড সংক্রান্ত সমস্যা","samplesCodeIssue","thumb-down"],["অন্যান্য","otherDown","thumb-down"]],["2025-07-29 UTC-তে শেষবার আপডেট করা হয়েছে।"],[],[],null,["# Zip Path Traversal\n\n\u003cbr /\u003e\n\n**OWASP category:** [MASVS-STORAGE: Storage](https://mas.owasp.org/MASVS/05-MASVS-STORAGE)\n\nOverview\n--------\n\nThe Zip Path Traversal vulnerability, also known as ZipSlip, is related to handling compressed archives. On this page, we demonstrate this vulnerability using the ZIP format as an example, but similar problems can arise in libraries handling other formats, like TAR, RAR, or 7z.\n\nThe underlying reason for this problem is that inside ZIP archives, each packed file is stored with a fully qualified name, which allows special characters such as slashes and dots. The default library from the `java.util.zip` package doesn't check the names of the archive entries for directory traversal characters (`../`), so special care must be taken when concatenating the name extracted from the archive with the targeted directory path.\n\nIt's very important to validate any ZIP-extracting code snippets or libraries from external sources. **Many such libraries are vulnerable to Zip Path Traversals.**\n\nImpact\n------\n\nThe Zip Path Traversal vulnerability can be used to achieve arbitrary file overwrite. Depending on conditions, the impact might vary, but in many cases this vulnerability can lead to major security issues such as code execution.\n\nMitigations\n-----------\n\nTo mitigate this issue, before extracting each entry, you should always verify that the target path is a child of the destination directory. The code below assumes that the destination directory is safe -- writable by your app only and not under attacker control -- otherwise your app could be prone to other vulnerabilities such as symlink attacks. \n\n### Kotlin\n\n companion object {\n @Throws(IOException::class)\n fun newFile(targetPath: File, zipEntry: ZipEntry): File {\n val name: String = zipEntry.name\n val f = File(targetPath, name)\n val canonicalPath = f.canonicalPath\n if (!canonicalPath.startsWith(\n targetPath.canonicalPath + File.separator)) {\n throw ZipException(\"Illegal name: $name\")\n }\n return f\n }\n }\n\n### Java\n\n public static File newFile(File targetPath, ZipEntry zipEntry) throws IOException {\n String name = zipEntry.getName();\n File f = new File(targetPath, name);\n String canonicalPath = f.getCanonicalPath();\n if (!canonicalPath.startsWith(targetPath.getCanonicalPath() + File.separator)) {\n throw new ZipException(\"Illegal name: \" + name);\n }\n return f;\n }\n\nTo avoid accidentally overwriting existing files, you should also make sure that the destination directory is empty before starting the extraction process. Otherwise you risk potential app crashes, or in extreme cases, an application compromise. \n\n### Kotlin\n\n @Throws(IOException::class)\n fun unzip(inputStream: InputStream?, destinationDir: File) {\n if (!destinationDir.isDirectory) {\n throw IOException(\"Destination is not a directory.\")\n }\n val files = destinationDir.list()\n if (files != null && files.isNotEmpty()) {\n throw IOException(\"Destination directory is not empty.\")\n }\n ZipInputStream(inputStream).use { zipInputStream -\u003e\n var zipEntry: ZipEntry\n while (zipInputStream.nextEntry.also { zipEntry = it } != null) {\n val targetFile = File(destinationDir, zipEntry.name)\n // ...\n }\n }\n }\n\n### Java\n\n void unzip(final InputStream inputStream, File destinationDir)\n throws IOException {\n if(!destinationDir.isDirectory()) { \n throw IOException(\"Destination is not a directory.\");\n }\n\n String[] files = destinationDir.list();\n if(files != null && files.length != 0) { \n throw IOException(\"Destination directory is not empty.\");\n }\n\n try (ZipInputStream zipInputStream = new ZipInputStream(inputStream)) {\n ZipEntry zipEntry;\n while ((zipEntry = zipInputStream.getNextEntry()) != null) {\n final File targetFile = new File(destinationDir, zipEntry);\n ...\n }\n }\n }\n\nResources\n---------\n\n- [Zip Slip Vulnerability](https://snyk.io/research/zip-slip-vulnerability)\n\nRecommended for you\n-------------------\n\n- Note: link text is displayed when JavaScript is off\n- [Path traversal](/topic/security/risks/path-traversal)"]]