在POCO服务器应用程序中预防目录遍历攻击
Prevent directory traversal attack in Poco Server Application
我有一个POCO服务器应用程序项目。该服务器应用程序可作为Web服务器。现在,我想对其进行对抗目录遍历攻击的硬化,并且正在寻找确保服务器服务的文件来自wwwRoot
内部的最佳方法。结构是
project
|-src
| |-main.cpp
|-CMakeLists.txt
|-conanfile.txt
|-build
|-...
例如。当我将build
用作wwwRoot
时,conanfile.txt
在wwwRoot
外面,但是使用localhost:8080/../conanfile.txt
,我可以打开它。我知道我可以搜索DOT段的路径,但是我听说它并不是真正的安全,因为有诸如编码路径之类的黑客。由于POCO是我假设的服务器应用程序的框架,因此已经有这样的函数可以检查filePath
是否在wwwRoot
内部,但我找不到它。
src/main.cpp
包含:
#include <Poco/Net/HTTPServer.h>
#include <Poco/Net/ServerSocket.h>
#include <Poco/Util/ServerApplication.h>
#include <Poco/Net/HTTPRequestHandler.h>
#include <Poco/Net/HTTPRequestHandlerFactory.h>
#include <Poco/Net/HTTPServerRequest.h>
#include <Poco/Net/HTTPServerResponse.h>
#include <Poco/Path.h>
#include <string>
class FileHandler: public Poco::Net::HTTPRequestHandler {
public:
explicit FileHandler(const Poco::Path &wwwRoot);
protected:
void handleRequest(Poco::Net::HTTPServerRequest &request,
Poco::Net::HTTPServerResponse &response) override;
private:
Poco::Path wwwRoot;
};
FileHandler::FileHandler(const Poco::Path &aWwwRoot) : wwwRoot(aWwwRoot) {}
void FileHandler::handleRequest(Poco::Net::HTTPServerRequest &request,
Poco::Net::HTTPServerResponse &response) {
Poco::Util::Application &app = Poco::Util::Application::instance();
app.logger().information("FileHandler Request from " + request.clientAddress().toString() + ": " + request.getURI());
Poco::Path path(wwwRoot.absolute(), request.getURI());
std::string filePath(path.toString());
app.logger().information(filePath);
response.sendFile(filePath, "text/html");
}
class HTTPRequestHandlerFactory: public Poco::Net::HTTPRequestHandlerFactory {
public:
explicit HTTPRequestHandlerFactory(const Poco::Path &wwwRoot);
protected:
Poco::Net::HTTPRequestHandler* createRequestHandler(
const Poco::Net::HTTPServerRequest& request) override;
private:
Poco::Path wwwRoot;
};
HTTPRequestHandlerFactory::HTTPRequestHandlerFactory(const Poco::Path &aWwwRoot) : wwwRoot(aWwwRoot) {}
Poco::Net::HTTPRequestHandler* HTTPRequestHandlerFactory::createRequestHandler(
const Poco::Net::HTTPServerRequest &) {
return new FileHandler(wwwRoot);
}
class ServerApplication : public Poco::Util::ServerApplication {
protected:
void initialize(Application& self) override;
int main(const std::vector<std::string> &args) override;
};
void ServerApplication::initialize(Application& self) {
loadConfiguration();
Poco::Util::ServerApplication::initialize(self);
}
int ServerApplication::main(const std::vector<std::string> &) {
Poco::Net::ServerSocket svs(8080);
Poco::Net::HTTPServer srv(new HTTPRequestHandlerFactory(Poco::Path(".").absolute()),
svs, new Poco::Net::HTTPServerParams);
srv.start();
waitForTerminationRequest();
srv.stop();
return Application::EXIT_OK;
}
int main(int argc, char **argv) {
ServerApplication app;
return app.run(argc, argv);
}
CMakeLists.txt
包含:
cmake_minimum_required (VERSION 3.5.1)
project (Sandbox)
if(NOT CMAKE_BUILD_TYPE)
set(CMAKE_BUILD_TYPE Debug)
endif()
set(CMAKE_CXX_FLAGS "-Wall -Wextra")
set(CMAKE_CXX_FLAGS_DEBUG "-g")
set(CMAKE_CXX_FLAGS_RELEASE "-O3")
set(CMAKE_CXX_STANDARD 14)
include(${CMAKE_BINARY_DIR}/conanbuildinfo.cmake)
conan_basic_setup(TARGETS)
add_executable(${PROJECT_NAME} src/main.cpp)
target_link_libraries(${PROJECT_NAME} PRIVATE CONAN_PKG::Poco)
conanfile.txt
包含:
[requires]
Poco/1.9.0@pocoproject/stable
[generators]
cmake
在build
中,该项目是
您必须解码请求路径并逐步构建本地路径并检查" .."路径段。这是一个执行此操作的片段,还可以处理提供文件时应该处理的其他一些事情。您需要编写mapContentType()
方法,或者执行等效的操作。
Poco::URI uri(request.getURI());
std::string decodedPath = uri.getPath();
Poco::Path requestPath(decodedPath, Poco::Path::PATH_UNIX);
Poco::Path localPath(wwwRoot.absolute());
localPath.makeDirectory();
bool valid = true;
for (int i = 0; valid && i < requestPath.depth(); i++)
{
if (requestPath[i] != "..")
localPath.pushDirectory(requestPath[i]);
else
valid = false;
}
if (valid)
{
localPath.setFileName(requestPath.getFileName());
Poco::File requestedFile(localPath.toString());
if (requestedFile.exists())
{
std::string contentType = mapContentType(localPath.getExtension());
if (request.getMethod() == Poco::Net::HTTPRequest::HTTP_HEAD)
{
response.set("Last-Modified", Poco::DateTimeFormatter::format(dateTime, Poco::DateTimeFormat::HTTP_FORMAT));
response.setContentLength64(requestedFile.getSize());
response.setContentType(contentType);
response.send();
}
else if (request.getMethod() == Poco::Net::HTTPRequest::HTTP_GET)
{
response.sendFile(localPath.toString(), contentType);
}
else
{
response.setStatusAndReason(Poco::Net::HTTPResponse::HTTP_METHOD_NOT_ALLOWED);
response.send();
}
}
else
{
response.setStatusAndReason(Poco::Net::HTTPResponse::HTTP_NOT_FOUND);
response.send();
}
}
else
{
response.setStatusAndReason(Poco::Net::HTTPResponse::HTTP_NOT_FOUND);
response.send();
}
相关文章:
- 有什么方法可以遍历结构吗
- 在循环中按顺序遍历成员变量
- 遍历模板参数
- 在遍历处理程序的向量时注册和注销处理程序
- C++RapidXml-使用first_node()遍历以修改XML文件中节点的值
- 遍历并行数组以确定C++中的最大数字
- 遍历顺序由 std::文件系统directory_iterator给出
- 遍历链表时的无限循环
- 遍历unordered_map向量
- 从预序遍历构造 bst 的 c++ 和 python 解决方案之间的区别
- C++声明双链表,使用两个 for 循环双向遍历列表并打印
- 如何正确地推回然后遍历堆中对象的向量?
- 遍历二维数组的所有子数组
- 如何在可变参数模板函数中遍历可变参数元组?
- 避免在遍历 IShellItemArray 时出现代码重复
- 从特定键开始遍历地图
- 关于链表遍历和调试的困惑
- 将树节点添加到向量向量中的 n 元树遍历的平均和最坏情况时间复杂度是多少?
- 为什么即使使用 for 循环遍历我的向量,它也没有输出到控制台?(C++)
- 在POCO服务器应用程序中预防目录遍历攻击