代码审计是使用静态分析发现源代码中安全缺陷的方法，辅助开发或测试人员在软件上线前较为全面地了解安全问题,防患于未然，因此一直以来都是学术界和产业界研究的热点，并已成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。

奇安信代码卫士团队基于自主研发的国内首款源代码安全检测商用工具，以及十余年漏洞技术研究的积累，推出“缺陷周话”系列栏目。每周针对 CWE、OWASP 等标准中的一类缺陷，结合实例和工具使用进行详细介绍，旨在为广大开发和安全人员提供代码审计的基础性标准化教程。

1、日志伪造

当日志条目包含未经过授权的用户输入时，会造成日志伪造。攻击者可以通过向应用程序提供包含特殊字符的内容，在日志文件中插入错误的条目。当日志文件自动处理时会将恶意条目写入日志文件，错误的日志条目会破坏文件格式，可以由此掩盖攻击者的入侵轨迹。或者通过回车符和换行符构造输入，将合法的日志条目进行拆分。本文以JAVA语言源代码为例，分析“日志伪造”缺陷产生的原因以及修复方法。该缺陷的详细介绍请参见CWE ID 117: Improper Output Neutralization for Logs (http://cwe.mitre.org/data/definitions/117.html)。

2、日志伪造的危害

利用该漏洞可以跨越信任边界获取敏感数据，攻击者将脚本注入日志文件，在使用 Web 浏览器查看文件时，浏览器可以向攻击者提供管理员 Cookie 的副本，从而获得管理员的访问权限。

3、示例代码

3.1 缺陷代码

上述代码是根据用户登录状态进行判断并记录日志。在代码行第29行调用父类的 doGet() 方法，第30、31行获取请求参数 username 和 password。在第32~36行判断用户名密码是否正确，并输出相应的日志信息。当用户名输入合法时会正确记录日志。

例如：
INFO：User login succeeded for jack 或 INFO：User login failed for jack当用户提供的字符串为：jack%0a%0aINFO:+User+login+succeeded +for+tom在日志记录中会记录下列条目：INFO: User login failed for jackINFO: User login succeeded for tom

此时在日志文件中产生了两条日志记录。使用代码卫士对上述示例代码进行检测，可以检出“日志伪造”缺陷，显示等级为中，从跟踪路径中可以分析出数据的污染源以及数据流向。在代码行第34、36行报出缺陷，如图1、图2所示：

                                                                  图1：日志伪造检测示例

                                                                     图2：日志伪造检测示例

3.2 修复代码

在上述修复代码中，在第33行调用 org.apache.commons.lang 包下 StringEscapeUtils 类的静态方法 escapeJavaScript()，该方法使用 JavaScript 字符串规则进行字符转义。

使用代码卫士对修复后的代码进行检测，可以看到已不存在“日志伪造”缺陷。如图3所示：

图3：修复后检测结果

4、如何避免日志伪造

避免日志伪造可在程序输入和输出分别进行控制，假设所有输入都是恶意的，拒绝任何不严格符合规范的输入，严格校验字段相关属性，包括长度、输入类型、接受值的范围等，或将其转换为具有相应规格的输入。在日志输出时指定输出编码格式，若未指定编码格式，在输出时不同编码格式下的某些字符可能被视为特殊字符。

推荐阅读

【缺陷周话】第49期：未使用的局部变量

【缺陷周话】第48期：动态解析代码

【缺陷周话】第47期：参数未初始化

【缺陷周话】第46期：邮件服务器建立未加密的连接

【缺陷周话】第45期：进程控制

【缺陷周话】第44期：Spring Boot 配置错误：不安全的 Actuator

【缺陷周话】第43期：不当的函数地址使用

【缺陷周话】第42期 — Cookie：未经过SSL加密

【缺陷周话】第41期：忽略返回值

【缺陷周话】第40期：JSON 注入

【缺陷周话】第 39期：解引用未初始化的指针

【缺陷周话】第 38期——不安全的反序列化：XStream

【缺陷周话】第 37期：未初始化值用于赋值操作

【缺陷周话】第 36 期：弱验证

【缺陷周话】第 35 期：除数为零

【缺陷周话】第 34 期：重定向

【缺陷周话】第 33期：错误的资源关闭

【缺陷周话】第 32期：弱加密

【缺陷周话】第 31 期：错误的内存释放方法

【缺陷周话】第 30 期：不安全的哈希算法

【缺陷周话】第 29 期：返回栈地址

【缺陷周话】第 28 期：被污染的内存分配

【缺陷周话】第 27 期：不安全的随机数

【缺陷周话】第 26期：被污染的格式化字符串

【缺陷周话】第 25期：硬编码密码

【缺陷周话】第 24期：在scanf 函数中没有对 %s 格式符进行宽度限制

【缺陷周话】第 23期：双重检查锁定

【缺陷周话】第 22期：错误的内存释放对象

【缺陷周话】第 21 期：数据库访问控制

【缺陷周话】第 20 期：无符号整数回绕

【缺陷周话】第19期：LDAP 注入

【缺陷周话】第18 期  XPath 注入

【缺陷周话】第17 期：有符号整数溢出

【缺陷周话】第 16 期 — 资源未释放：流

【缺陷周话】第 15 期 — 资源未释放：文件

【缺陷周话】第 14 期 ：HTTP 响应截断

【缺陷周话】第 13期 ：二次释放

【缺陷周话】第 12期 ：存储型 XSS

【缺陷周话】第 11期 ：释放后使用

【缺陷周话】第 10 期 ：反射型 XSS

【缺陷周话】第 9 期 ：缓冲区下溢

【缺陷周话】第 8 期 ：路径遍历

【缺陷周话】第 7 期 ：缓冲区上溢

【缺陷周话】第 6 期 ：命令注入

【缺陷周话】第5期 ：越界访问

【缺陷周话】第4期 ：XML 外部实体注入

【缺陷周话】第3期 ：内存泄漏

【缺陷周话】第 2 期 ：SQL 注入

【缺陷周话】第1期 ：空指针解引用

*奇安信代码卫士团队原创出品。未经许可，禁止转载。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。