1. 首页
  2. 后端

Google 孵化了 3 个 Go 安全库,推荐使用!

  Google 孵化了 3 个 Go 安全库,推荐使用!

===========================

大家好,我是煎鱼。

Google 作为一家用户体量很大的企业,有非常多的产品,经常会被黑客攻击或被拿来练手。

因此其设计的产品、编程语言、工具库等都会要求考虑安全性相关的内容。例如:各种供应链攻击、CWE 等安全的查缺补漏等。

我们作为用户(使用者),可以 “白嫖” 这些功能实现。直接复用在自家的业务上就可以了。这样每年在护网上都能省不少劲。

三个 Go 安全库

本次 Google 输出了三个新的 Go 开源库,能够提供安全、高效的解决方案。接下来会给大家分享安全库官方的一些案例和设计思路、方向。

Google 孵化了 3 个 Go 安全库,推荐使用!

本次介绍涉及如下几个库:

  • SafeText:用于 YAML 和 shell 命令模板,指的是对标 text/template 的安全增强。
  • SafeOpen:用于打开目录中的文件,指的是对标 os.Open 等的安全增强。
  • SafeArchive:用于处理归档文件,指的就是压缩文件的处理,对标 archive/tararchive/zip 等的安全增强。

解决了什么问题

这些库经过精心设计,可应对常见的安全攻击,可以防范 CWE TOP25 中的以下弱点:

Google 孵化了 3 个 Go 安全库,推荐使用!

  • CWE-78:操作系统命令中使用的特殊元素中和不当(操作系统命令注入)。
  • CWE-20:特殊情况下,输入验证不当。
  • CWE-22:对受限目录的路径名限制不当(路径遍历)。

这几个 Safe 系列库提供了强大的保护机制。只要使用这几个库,即使输入是由攻击者输入的,也能以无漏洞的方式执行这些基本的系统操作。

库使用和案例

SafeText

SafeText 库,是 2023 年初发布的第一个安全库的家族成员。

Google 要创造这一库的原因是:内部在使用 text/template 做开发基于 YAML 的应用程序时,经常受到 YAML 注入的攻击。

YAML 模板

SafeText 库被设计为 text/template 的直接替代品。我们可以用它来处理 YAML 模板,就像使用 text/template 一样。

两者不同的地方是:当检测到注入时,SafeText 库会返回错误。

以下是例子,假设模板如下:

---
sensitive: data
innocent: "{{ .input}}"

当使用 text/template 时,如果攻击者控制了 .input 的值,他们就可以注入换行符,覆盖其他字段或更改文档结构。

根据不同的使用情况,影响可能是严重的。例如:当变更的结果被用作生产系统的配置文件时。

如果是使用 SafeText 库时,SafeText 将返回错误信息:YAML Injection Detected,,并阻止这类可能的侵入式攻击。

Shell 命令模板

在该库原有 YAML 功能的基础上,Safe 库还增加了对 shell 命令模板的支持。

设计上考虑的是:确保输入字符串不会被注入额外的命令或标志,而不考虑潜在的错误转义。(保证安全,接受部分错误处理的可能)

以下是例子,假设易受攻击如下:

result := fmt.Sprintf("git commit -m %s", message)

如果信息变量受攻击者控制,且连接字符串在某个时刻被执行,那么这就是一个漏洞。

根据攻击的具体执行情况,操作系统命令或可执行文件(本例中为 git cli)的参数都可能被注入。

如果使用 Safe 库提高的 shsprintf 系列函数,例如:

message := "`脑子进煎鱼了...`"
result, err := shsprintf.Sprintf("git commit -m %s", message)

或是:

message := "`煎鱼进脑子了`"
result := shsprintf.MustSprintf("git commit -m %s", shsprintf.EscapeDefaultContext(message))

两个例子都能检测到注入尝试。第一个会返回错误,第二个则会引起恐慌。可以有效起到防护的作用。

SafeOpen

SafeOpen 库的设计目的是:防止路径遍历攻击,它通过提供在基本目录内打开文件的函数来实现这一目的。

其原理很简单:需要你指定一个受信任的根目录,该库就会强制要求文件操作不能超出该目录。

保护的缘由是:当要打开的文件路径名受攻击者控制(这意味着它可能包含 ./ 路径组件)或根目录 “不干净”(例如它包含符号链接)时,它就能提供强大的保护,因为无法跨过你所指定的目录范围。

SafeOpen 库的使用例子,如下代码:

rootDir:= "/data"
f, err := safeopen.OpenBeneath(rootDir, userInput)
if err != nil {
    t.Fatalf("OpenBeneath(%q, %q) error: %v", rootDir, userInput, err)
}
// ... use f as an *os.File just like before

该库对标以下几个函数:

  • os.Open
  • os.OpenFile
  • os.Create
  • os.ReadFile
  • os.WriteFile

SafeArchive

SafeArchive 库的设计目的是:防止路径遍历攻击(又称 zip slip)以及与处理归档文件相关的各种攻击

该库可直接替换 Go 标准库中的的 archive/tar 和 archive/zip,直接换包的导入路径就可以了。使用后,压缩包中如果包含恶意信息,发现后将会被清除。

例子如下:如果该库遇到包含恶意条目 ./././././etc/cron.daily/cronjob 的 .zip 文件,该库会清理该名称,并返回为干净的 etc/cron.daily/cronjob

代码如下:

tr := tar.NewReader(buf)
tr.SetSecurityMode(tr.GetSecurityMode() | tar.SanitizeFileMode | tar.DropXattrs)

另外还支持了许多额外保护措施,例如:跳过特殊文件、净化文件权限、净化文件名、防止通过符号链接进行遍历等;

代码如下:

tr.SetSecurityMode(tar.MaximumSecurityMode)

又或是:

tr.SetSecurityMode(tr.GetSecurityMode() &^ tar.SanitizeFileMode)

总结

这三个安全库 SafeText、SafeOpen、SafeArchive 是非常典型的代表类别,通过这几个库我们可以从解决一些漏洞类的问题。

根据库作者的阐述,这些库在 Google 内部被广泛使用。如果大家在业务项目中,也有明确的安全要求,推荐大家学习和使用!

文章持续更新,可以微信搜【脑子进煎鱼了】阅读,本文 GitHub github.com/eddycjy/blo… 已收录,学习 Go 语言可以看 Go 学习地图和路线,欢迎 Star 催更。

推荐阅读

文章收集整理于网络,请勿商用,仅供个人学习使用,如有侵权,请联系作者删除,如若转载,请注明出处:http://www.cxyroad.com/17374.html

QR code