我正在通过 Hp Fortify 运行代码，并有一些路径操纵的发现。我了解它的背景并试图解决。
我没有遍历从数据库查询某些路径值来存储输出文件（日志、导出数据等）的所有位置，而是尝试将其集中化。因此，我不想让 File.WriteAllText() 带有一些路径+文件名、内容，而是想包装成
FortifyFileWriteAllText()。然后，在这个函数中，我预先进行一次路径验证检查，如果有效，则只允许继续写入，例如......
public static bool FortifyFileWriteAllText( string fileToWrite, string content)
{
if( ! MyPathValidationRoutine( fileToWrite ))
return false;
File.WriteAllText( fileToWrite, content );
return true;
}
所以，我知道这是实际验证和防止错误写入的非常缩写，但我调用 Path.GetFullPath() 来防止任何此类情况..\..\..路径参考。然后查看最终路径，明确阻止诸如根 C:、C:\Windows 等内容，但也有一个“干净”的路径列表。
那么，我将如何应用一条规则，表明进入此例程的任何内容都是好的，并且已经明确检查过并且没问题。
如果你做得正确，fortify 数据流分析器将沿着你的数据路径进行跟踪，查看一些预期的函数（即 getCanonicalPath()、pattern.matcher() 等）并触发生成 TAINFLAG=VALIDATED_PATH_MANIPULATION 的接收器规则。然后数据流分析器看到这个特定的 TAINTFLAG，它将静音问题报告。这个过程是经过设计的。如果您实现了 FortifyFileWriteAllText() 函数，并且 Fortify 仍然抱怨，可能是因为 fortify 不喜欢您正在使用的方法。
如果您认为函数 FortifyFileWriteAllText() 确实阻止了 PM，这里是自定义接收器规则，可以为您创建 VALIDATED_PATH_MANIPULATION 污点标志。将其放入 ~FORTIFY_HOME/Core/config/rules 目录中使用。
<?xml version="1.0" encoding="UTF-8"?>
<RulePack xmlns="xmlns://www.fortifysoftware.com/schema/rules">
<RulePackID>YOUR RULE PACK ANME HERE</RulePackID>
<SKU>SKU-ANY THING HERE</SKU>
<Name><![CDATA[ANY THING HERE]]></Name>
<Version>1.0</Version>
<Description><![CDATA[]]></Description>
<Rules version="6.31">
<RuleDefinitions>
<DataflowSinkRule formatVersion="6.31" language="java">
<MetaInfo>
<Group name="MyCompany">Path Manipulation Remediation</Group>
<Group name="Accuracy">4</Group>
<Group name="Impact">3</Group>
<Group name="RemediationEffort">3</Group>
<Group name="Probability">4</Group>
<Group name="audience">targeted,medium,broad,dev,fod</Group>
</MetaInfo>
<RuleID>put-your-rule-id here-with-prefix-for-future-statistics</RuleID>
<VulnKingdom>Input Validation and Representation</VulnKingdom>
<VulnCategory>Path Manipulation</VulnCategory>
<DefaultSeverity>3.0</DefaultSeverity>
<Description ref="desc.dataflow.java.path_manipulation">
<Explanation append="true"><![CDATA[This issue is being reported by "your rule name here".]]></Explanation>
</Description>
<Sink>
<InArguments>this</InArguments>
<Conditional>
<Not>
<TaintFlagSet taintFlag="VALIDATED_PATH_MANIPULATION"/>
</Not>
</Conditional>
</Sink>
<FunctionIdentifier>
<NamespaceName>
<Pattern>com.yourpackage</Pattern>
</NamespaceName>
<ClassName>
<Pattern>yourclass</Pattern>
</ClassName>
<FunctionName>
<Pattern>FortifyFileWriteAllText</Pattern>
</FunctionName>
<ApplyTo implements="true" overrides="true" extends="true"/>
</FunctionIdentifier>
</DataflowSinkRule>
</RuleDefinitions>
</Rules>
</RulePack>
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
