Инъекции: SQL, NoSQL, команды ОС и шаблоны

live example

public class OrderQueryVulnerable {
    static String myOrders(long customerId, String status) {
        return "SELECT id, address FROM orders WHERE status = '" + status
            + "' AND customer_id = " + customerId;
    }

    public static void main(String[] args) {
        System.out.println(myOrders(42, "PAID"));
        String sql = myOrders(42, "' OR 1=1 --");
        System.out.println(sql);
        String executed = sql.substring(0, sql.indexOf("--"));
        System.out.println("база выполнит: " + executed);
        System.out.println("фильтр по покупателю остался: " + executed.contains("customer_id"));
    }
}

live example

package main

import (
	"fmt"
	"strings"
)

func myOrders(customerID int64, status string) string {
	return fmt.Sprintf("SELECT id, address FROM orders WHERE status = '%s' AND customer_id = %d", status, customerID)
}

func main() {
	fmt.Println(myOrders(42, "PAID"))
	sql := myOrders(42, "' OR 1=1 --")
	fmt.Println(sql)
	executed, _, _ := strings.Cut(sql, "--")
	fmt.Println("база выполнит:", executed)
	fmt.Println("фильтр по покупателю остался:", strings.Contains(executed, "customer_id"))
}

live example

function myOrders(customerId, status) {
  return `SELECT id, address FROM orders WHERE status = '${status}' AND customer_id = ${customerId}`;
}

console.log(myOrders(42, "PAID"));
const sql = myOrders(42, "' OR 1=1 --");
console.log(sql);
const executed = sql.split("--")[0];
console.log("база выполнит:", executed);
console.log("фильтр по покупателю остался:", executed.includes("customer_id"));

live example

import sqlite3

db = sqlite3.connect(":memory:")
db.execute("CREATE TABLE orders (id INTEGER, customer_id INTEGER, status TEXT, address TEXT)")
db.executemany("INSERT INTO orders VALUES (?, ?, ?, ?)", [
    (1, 42, "PAID", "Москва, Тверская 1"),
    (2, 42, "NEW", "Москва, Тверская 1"),
    (3, 77, "PAID", "Казань, Баумана 5"),
    (4, 91, "SHIPPED", "Пермь, Ленина 10"),
])
db.execute("CREATE TABLE payments (order_id INTEGER, card_mask TEXT)")
db.execute("INSERT INTO payments VALUES (3, '2200 **** **** 7351')")


def my_orders(customer_id: int, status: str):
    sql = f"SELECT id, customer_id, address FROM orders WHERE status = '{status}' AND customer_id = {customer_id}"
    print(sql)
    return db.execute(sql).fetchall()


print(my_orders(42, "PAID"))
for row in my_orders(42, "' OR 1=1 --"):
    print("чужой заказ" if row[1] != 42 else "свой заказ", row)
print(my_orders(42, "' UNION SELECT order_id, 0, card_mask FROM payments --"))

live example

import java.util.ArrayList;
import java.util.Collections;
import java.util.List;
import java.util.Map;

public class OrderQueryFixed {
    record Query(String sql, List<Object> params) {}

    static final Map<String, String> SORT = Map.of("newest", "id DESC", "oldest", "id ASC");

    static Query myOrders(long customerId, List<String> statuses, String sort) {
        String orderBy = SORT.get(sort);
        if (orderBy == null) {
            throw new IllegalArgumentException("недопустимая сортировка: " + sort);
        }
        String marks = String.join(", ", Collections.nCopies(statuses.size(), "?"));
        List<Object> params = new ArrayList<>(statuses);
        params.add(customerId);
        return new Query(
            "SELECT id, address FROM orders WHERE status IN (" + marks + ") AND customer_id = ? ORDER BY " + orderBy,
            params);
    }

    public static void main(String[] args) {
        Query q = myOrders(42, List.of("PAID", "' OR 1=1 --"), "newest");
        System.out.println(q.sql());
        System.out.println("параметры: " + q.params());
        try {
            myOrders(42, List.of("PAID"), "(SELECT card_mask FROM payments LIMIT 1)");
        } catch (IllegalArgumentException e) {
            System.out.println(e.getMessage());
        }
    }
}

live example

package main

import (
	"errors"
	"fmt"
)

var sortColumns = map[string]string{"newest": "id DESC", "oldest": "id ASC"}

func myOrders(customerID int64, statuses []string, sort string) (string, []any, error) {
	orderBy, ok := sortColumns[sort]
	if !ok {
		return "", nil, errors.New("недопустимая сортировка: " + sort)
	}
	sql := "SELECT id, address FROM orders WHERE customer_id = $1 AND status = ANY($2) ORDER BY " + orderBy
	return sql, []any{customerID, statuses}, nil
}

func main() {
	sql, args, _ := myOrders(42, []string{"PAID", "' OR 1=1 --"}, "newest")
	fmt.Println(sql)
	fmt.Printf("$1 = %v, $2 = %q\n", args[0], args[1])
	_, _, err := myOrders(42, []string{"PAID"}, "(SELECT card_mask FROM payments LIMIT 1)")
	fmt.Println(err)
}

live example

const SORT = { newest: "id DESC", oldest: "id ASC" };

function myOrders(customerId, statuses, sort) {
  const orderBy = Object.hasOwn(SORT, sort) ? SORT[sort] : null;
  if (!orderBy) throw new Error(`недопустимая сортировка: ${sort}`);
  return {
    text: `SELECT id, address FROM orders WHERE customer_id = $1 AND status = ANY($2) ORDER BY ${orderBy}`,
    values: [customerId, statuses],
  };
}

const q = myOrders(42, ["PAID", "' OR 1=1 --"], "newest");
console.log(q.text);
console.log("values:", JSON.stringify(q.values));
try {
  myOrders(42, ["PAID"], "(SELECT card_mask FROM payments LIMIT 1)");
} catch (e) {
  console.log(e.message);
}

live example

import sqlite3

db = sqlite3.connect(":memory:")
db.execute("CREATE TABLE orders (id INTEGER, customer_id INTEGER, status TEXT, address TEXT)")
db.executemany("INSERT INTO orders VALUES (?, ?, ?, ?)", [
    (1, 42, "PAID", "Москва, Тверская 1"),
    (2, 42, "NEW", "Москва, Тверская 1"),
    (3, 77, "PAID", "Казань, Баумана 5"),
    (4, 91, "SHIPPED", "Пермь, Ленина 10"),
])

SORT = {"newest": "id DESC", "oldest": "id ASC"}


def my_orders(customer_id: int, statuses: list[str], sort: str = "newest"):
    order_by = SORT.get(sort)
    if order_by is None:
        raise ValueError(f"недопустимая сортировка: {sort!r}")
    marks = ", ".join("?" * len(statuses))
    sql = f"SELECT id, customer_id, address FROM orders WHERE status IN ({marks}) AND customer_id = ? ORDER BY {order_by}"
    return db.execute(sql, (*statuses, customer_id)).fetchall()


print(my_orders(42, ["PAID", "NEW"]))
print("атака:", my_orders(42, ["' OR 1=1 --"]))
try:
    my_orders(42, ["PAID"], sort="(SELECT address FROM orders WHERE customer_id = 77)")
except ValueError as e:
    print(e)

JDBC: PreparedStatement с ? и setString/setLong (Oracle JDBC Tutorial). В Spring тот же принцип дают JdbcTemplate и NamedParameterJdbcTemplate, который сам разворачивает коллекцию в IN (:statuses); в JPQL параметр :name задают через setParameter.

List<OrderView> myOrders(long customerId, List<String> statuses) {
    return namedJdbc.query(
        "SELECT id, address FROM orders WHERE customer_id = :customerId AND status IN (:statuses)",
        Map.of("customerId", customerId, "statuses", statuses),
        (rs, rowNum) -> new OrderView(rs.getLong("id"), rs.getString("address")));
}

List<Order> myOrdersJpql(long customerId, List<String> statuses) {
    return em.createQuery(
            "select o from Order o where o.customerId = :customerId and o.status in :statuses", Order.class)
        .setParameter("customerId", customerId)
        .setParameter("statuses", statuses)
        .getResultList();
}

database/sql и pgx принимают значения аргументами после текста запроса: «You can avoid an SQL injection risk by providing SQL parameter values as sql package function arguments» (go.dev). pgx передаёт срез []string как массив PostgreSQL.

func (h *Handler) MyOrders(w http.ResponseWriter, r *http.Request) {
	customerID := auth.CustomerID(r.Context())
	statuses := r.URL.Query()["status"]
	rows, err := h.pool.Query(r.Context(),
		"SELECT id, address FROM orders WHERE customer_id = $1 AND status = ANY($2)",
		customerID, statuses)
	if err != nil {
		http.Error(w, "internal error", http.StatusInternalServerError)
		return
	}
	orders, err := pgx.CollectRows(rows, pgx.RowToStructByName[OrderView])
	if err != nil {
		http.Error(w, "internal error", http.StatusInternalServerError)
		return
	}
	json.NewEncoder(w).Encode(orders)
}

node-postgres прямо пишет: «avoid string concatenating parameters into the query text directly», значения идут вторым аргументом и подставляются на стороне PostgreSQL (документация pg). Массив JavaScript превращается в массив PostgreSQL.

app.get("/me/orders", async (req, res) => {
  const statuses = [].concat(req.query.status ?? []).map(String);
  const { rows } = await pool.query(
    "SELECT id, address FROM orders WHERE customer_id = $1 AND status = ANY($2)",
    [req.user.id, statuses],
  );
  res.json(rows);
});

psycopg 3 принимает значения вторым аргументом execute и предупреждает «NEVER DO THIS» про cur.execute(SQL % data) (документация). Список для IN там же советуют передавать через = ANY(%s) (адаптация списков). В SQLAlchemy то же даёт select(Order).where(Order.customer_id == customer.id, Order.status.in_(status)).

@app.get("/me/orders")
def my_orders(status: list[str] = Query(default=[]), customer: Customer = Depends(current_customer)):
    with pool.connection() as conn:
        rows = conn.execute(
            "SELECT id, address FROM orders WHERE customer_id = %s AND status = ANY(%s)",
            (customer.id, status),
        ).fetchall()
    return [{"id": row[0], "address": row[1]} for row in rows]

Типизированный DTO закрывает дыру сам: в поле String Jackson объект не положит, запрос упадёт на разборе тела.

record TrackingRequest(@NotBlank String code) {}

@PostMapping("/orders/track")
OrderView track(@Valid @RequestBody TrackingRequest body) {
    Document order = orders.find(Filters.eq("trackingCode", body.code())).first();
    if (order == null) {
        throw new ResponseStatusException(HttpStatus.NOT_FOUND);
    }
    return OrderView.from(order);
}

encoding/json не положит объект в поле string: Decode вернёт ошибку, и до фильтра дело не дойдёт.

func (h *Handler) Track(w http.ResponseWriter, r *http.Request) {
	var body struct {
		Code string `json:"code"`
	}
	if err := json.NewDecoder(r.Body).Decode(&body); err != nil || body.Code == "" {
		http.Error(w, "bad request", http.StatusBadRequest)
		return
	}
	var order Order
	err := h.orders.FindOne(r.Context(), bson.D{{Key: "trackingCode", Value: body.Code}}).Decode(&order)
	if errors.Is(err, mongo.ErrNoDocuments) {
		http.NotFound(w, r)
		return
	}
	if err != nil {
		http.Error(w, "internal error", http.StatusInternalServerError)
		return
	}
	json.NewEncoder(w).Encode(order)
}

В Node опаснее всего: express.json() отдаёт в req.body ровно то, что прислали, вместе с вложенными объектами. Программа ниже воспроизводит, как драйвер понимает оператор $ne, на массиве в памяти.

live example

const orders = [
  { id: 3, customerId: 77, trackingCode: "TRK-77-A1", address: "Казань, Баумана 5" },
  { id: 4, customerId: 91, trackingCode: "TRK-91-B2", address: "Пермь, Ленина 10" },
];

function matches(doc, filter) {
  return Object.entries(filter).every(([field, cond]) => {
    if (cond !== null && typeof cond === "object" && "$ne" in cond) return doc[field] !== cond.$ne;
    return doc[field] === cond;
  });
}

function findByTracking(body) {
  return orders.find((o) => matches(o, { trackingCode: body.code })) ?? null;
}

function findByTrackingSafe(body) {
  if (typeof body.code !== "string") return null;
  return findByTracking(body);
}

const attack = JSON.parse('{"code": {"$ne": ""}}');
console.log("без проверки:", findByTracking(attack));
console.log("с проверкой типа:", findByTrackingSafe(attack));
console.log("честный код:", findByTrackingSafe({ code: "TRK-91-B2" }).id);

Модель Pydantic с полем code: str отклонит объект на входе, FastAPI ответит 422 раньше, чем вызовется обработчик.

class TrackingRequest(BaseModel):
    code: str = Field(min_length=1)


@app.post("/orders/track")
def track(body: TrackingRequest):
    order = orders.find_one({"trackingCode": body.code})
    if order is None:
        raise HTTPException(status_code=404)
    return OrderView.from_document(order)

ProcessBuilder со списком запускает программу напрямую, shell не участвует. echo получает строку атаки одним аргументом и печатает её как есть.

live example

import java.util.List;
import java.util.regex.Pattern;

public class LabelPrinter {
    static final Pattern ORDER_NUMBER = Pattern.compile("[0-9]{1,12}");

    static String runEcho(String orderNumber) throws Exception {
        Process p = new ProcessBuilder(List.of("echo", "label", orderNumber)).start();
        String out = new String(p.getInputStream().readAllBytes()).trim();
        p.waitFor();
        return out;
    }

    public static void main(String[] args) throws Exception {
        String attack = "1; rm -rf /tmp/labels";
        System.out.println("echo получил одну строку: " + runEcho(attack));
        System.out.println(attack + " проходит проверку: " + ORDER_NUMBER.matcher(attack).matches());
        System.out.println("100500 проходит проверку: " + ORDER_NUMBER.matcher("100500").matches());
    }
}

Документация os/exec: пакет «intentionally does not invoke the system shell and does not expand any glob patterns or handle other expansions, pipelines, or redirections typically done by shells».

live example

package main

import (
	"fmt"
	"os/exec"
	"regexp"
)

var orderNumber = regexp.MustCompile(`^[0-9]{1,12}$`)

func main() {
	attack := "1; rm -rf /tmp/labels"
	out, err := exec.Command("echo", "label", attack).Output()
	if err != nil {
		fmt.Println(err)
		return
	}
	fmt.Printf("echo получил одну строку: %s", out)
	fmt.Println(attack, "проходит проверку:", orderNumber.MatchString(attack))
	fmt.Println("100500 проходит проверку:", orderNumber.MatchString("100500"))
}

child_process в песочнице нет, поэтому живой пример показывает проверку и список аргументов. Регулярное выражение отсекает и ;, и опцию, и массив, который Express соберёт из ?n=1&n=2.

live example

const ORDER_NUMBER = /^[0-9]{1,12}$/;

function labelArgs(orderNumber) {
  if (typeof orderNumber !== "string" || !ORDER_NUMBER.test(orderNumber)) {
    throw new Error(`недопустимый номер заказа: ${JSON.stringify(orderNumber)}`);
  }
  return ["--", orderNumber];
}

for (const input of ["100500", "1; rm -rf /tmp/labels", "--output=/etc/passwd", ["1"]]) {
  try {
    console.log("spawn('print-label',", JSON.stringify(labelArgs(input)) + ")");
  } catch (e) {
    console.log(e.message);
  }
}

Запуск в обработчике. У spawn опция shell по умолчанию false; про exec() и shell: true документация Node пишет: «Never pass unsanitized user input to this function».

const { spawn } = require("node:child_process");

app.post("/labels/:orderNumber", (req, res) => {
  let args;
  try {
    args = labelArgs(req.params.orderNumber);
  } catch {
    return res.status(400).end();
  }
  const child = spawn("print-label", args);
  child.on("close", (code) => res.status(code === 0 ? 204 : 500).end());
});

Проверка и список аргументов. re.fullmatch требует совпадения со всей строкой, поэтому номер с переводом строки на конце тоже не проходит.

live example

import re

ORDER_NUMBER = re.compile(r"[0-9]{1,12}")


def label_args(order_number: str) -> list[str]:
    if not ORDER_NUMBER.fullmatch(order_number):
        raise ValueError(f"недопустимый номер заказа: {order_number!r}")
    return ["print-label", "--", order_number]


for value in ["100500", "1; rm -rf /tmp/labels", "--output=/etc/passwd", "100500\n"]:
    try:
        print("subprocess.run(", label_args(value), ")")
    except ValueError as e:
        print(e)

Запуск в обработчике. subprocess по умолчанию shell не вызывает: «all characters, including shell metacharacters, can safely be passed to child processes»; с shell=True экранирование становится вашей обязанностью.

@app.post("/labels/{order_number}", status_code=204)
def print_label(order_number: str):
    try:
        args = label_args(order_number)
    except ValueError:
        raise HTTPException(status_code=400)
    subprocess.run(args, check=True, timeout=10)

FreeMarker: шаблоны только из своего каталога, расширение .ftlh включает HTML-экранирование, ?new и ?api выключены, как советует OWASP. Конструктор Template с текстом продавца и есть SSTI.

Configuration cfg = new Configuration(Configuration.VERSION_2_3_32);
cfg.setClassForTemplateLoading(MailRenderer.class, "/templates");
cfg.setNewBuiltinClassResolver(TemplateClassResolver.ALLOWS_NOTHING_RESOLVER);
cfg.setAPIBuiltinEnabled(false);

Template unsafe = new Template("seller", new StringReader(sellerText), cfg);

Template shipped = cfg.getTemplate("shipped.ftlh");
shipped.process(Map.of("orderId", order.id(), "note", sellerText), out);

html/template исходит из того, что «template authors are trusted, that Execute's data parameter is not». Первый шаблон собран из текста продавца и выдаёт телефон покупателя, хотя автоэкранирование включено. Во втором тот же текст пришёл как данные: выражения остались текстом, <script> экранирован.

live example

package main

import (
	"html/template"
	"os"
)

type Customer struct {
	Name  string
	Phone string
}

type Order struct {
	ID       int
	Address  string
	Customer Customer
	Note     string
}

func main() {
	order := Order{ID: 3, Address: "Казань, Баумана 5", Customer: Customer{Name: "Анна", Phone: "8 900 123-45-67"}}

	sellerText := "Заказ {{.ID}} передан в доставку, телефон покупателя: {{.Customer.Phone}}"
	leak := template.Must(template.New("seller").Parse(sellerText))
	leak.Execute(os.Stdout, order)
	os.Stdout.WriteString("\n")

	page := template.Must(template.New("page").Parse("<p>Заказ {{.ID}}: {{.Note}}</p>\n"))
	order.Note = sellerText + "<script>alert(1)</script>"
	page.Execute(os.Stdout, order)
}

Handlebars: «the values returned by the {{expression}} are HTML-escaped», а {{{ }}} выводит сырой HTML (документация). Компилировать можно только свои файлы шаблонов, текст продавца идёт в контекст.

const Handlebars = require("handlebars");

const unsafe = Handlebars.compile(req.body.template);

const shipped = Handlebars.compile(fs.readFileSync("templates/shipped.hbs", "utf8"));
res.send(shipped({ orderId: order.id, note: req.body.note }));

Без сторонних библиотек тот же класс дыры даёт str.format: строка формата умеет обходить атрибуты и индексы, и через них добраться до глобальных переменных модуля. string.Template подставляет только плоские имена. В Jinja2 шаблоны грузят из FileSystemLoader с autoescape=select_autoescape() (у Template по умолчанию autoescape=False), а from_string с чужим текстом не вызывают.

live example

from string import Template

SIGNING_KEY = "prod-signing-key-7f3a"


class Order:
    def __init__(self, order_id: int, address: str):
        self.id = order_id
        self.address = address


order = Order(3, "Казань, Баумана 5")

seller_text = "Заказ {order.id} передан в доставку: {order.address}"
print(seller_text.format(order=order))
attack = "Заказ {order.__init__.__globals__[SIGNING_KEY]}"
print(attack.format(order=order))

safe = Template("Заказ $order_id передан в доставку: $address")
print(safe.safe_substitute(order_id=order.id, address=order.address))
print(Template("Заказ $order.__init__.__globals__").safe_substitute(order="3"))