Zip 路徑遍歷

OWASP 類別：MASVS-STORAGE：儲存空間

總覽

Zip Path Traversal 安全漏洞 (又稱為 ZipSlip) 與處理壓縮封存的程序有關。在這個頁面中，我們將以 ZIP 格式為例介紹這個安全漏洞，但在處理其他格式 (例如 TAR、RAR 或 7z) 的程式庫中，也可能會發生類似問題。

這個問題的根本原因是，在 ZIP 封存檔中，每個封裝檔案都會以完整名稱儲存，也就是允許使用斜線和點等特殊字元。java.util.zip 套件的預設程式庫不會檢查目錄周遊字元 (../) 的封存項目名稱，因此如果要將封存檔中擷取的名稱與目標目錄路徑串連在一起，必須格外留意。

請務必驗證來自外部來源的任何 ZIP 擷取程式碼片段或程式庫。這類程式庫有很多都存在 Zip Path Traversal 安全漏洞。

影響

Zip Path Traversal 安全漏洞可用於覆寫任意檔案。視條件而定，影響範圍可能會有所不同，但在許多情況下，這個安全漏洞可能會導致程式碼執行等重大安全性問題。

因應措施

為緩解此問題的影響，在擷取每個項目之前，您一律應驗證目標路徑是目的地目錄的子項。以下程式碼假設目的地目錄安全無虞 (只能由您的應用程式寫入，而不會遭到攻擊者控管)，否則應用程式可能會受到其他安全漏洞攻擊，例如符號連結攻擊。

Kotlin

companion object {
    @Throws(IOException::class)
    fun newFile(targetPath: File, zipEntry: ZipEntry): File {
        val name: String = zipEntry.name
        val f = File(targetPath, name)
        val canonicalPath = f.canonicalPath
        if (!canonicalPath.startsWith(
                targetPath.canonicalPath + File.separator)) {
            throw ZipException("Illegal name: $name")
        }
        return f
    }
}

Java

public static File newFile(File targetPath, ZipEntry zipEntry) throws IOException {
    String name = zipEntry.getName();
    File f = new File(targetPath, name);
    String canonicalPath = f.getCanonicalPath();
    if (!canonicalPath.startsWith(targetPath.getCanonicalPath() + File.separator)) {
      throw new ZipException("Illegal name: " + name);
    }
    return f;
 }

為避免意外覆寫現有檔案，您也應確保目的地目錄為空白目錄，然後再啟動擷取程序。否則，應用程式可能會有當機風險，在極端情況下也可能會遭駭。

Kotlin

@Throws(IOException::class)
fun unzip(inputStream: InputStream?, destinationDir: File) {
    if (!destinationDir.isDirectory) {
        throw IOException("Destination is not a directory.")
    }
    val files = destinationDir.list()
    if (files != null && files.isNotEmpty()) {
        throw IOException("Destination directory is not empty.")
    }
    ZipInputStream(inputStream).use { zipInputStream ->
        var zipEntry: ZipEntry
        while (zipInputStream.nextEntry.also { zipEntry = it } != null) {
            val targetFile = File(destinationDir, zipEntry.name)
            // ...
        }
    }
}

Java

void unzip(final InputStream inputStream, File destinationDir)
      throws IOException {
  if(!destinationDir.isDirectory()) {
    throw IOException("Destination is not a directory.");
  }

  String[] files = destinationDir.list();
  if(files != null && files.length != 0) {
    throw IOException("Destination directory is not empty.");
  }

  try (ZipInputStream zipInputStream = new ZipInputStream(inputStream)) {
    ZipEntry zipEntry;
    while ((zipEntry = zipInputStream.getNextEntry()) != null) {
      final File targetFile = new File(destinationDir, zipEntry);
        …
    }
  }
}

資源

  • 注意：系統會在 JavaScript 關閉時顯示連結文字
  • 路徑遍歷