Инструментальная проверка и блокировка выхода за пределы каталога файловой системы
Ручка скачивания отчётов принимает последовательности точек и косых черт, позволяя выйти из рабочей папки и прочитать системные файлы сервера. Испытатель доказывает выход за границы папки на безопасном проверочном файле и за 10 микросекунд выпускает правило контроля канонического пути.
Обход каталога файловой системы возникает в тех случаях, когда сервер открывает переданное пользователем имя файла без проверки того, что разрешённый абсолютный путь остаётся внутри выделенной рабочей директории. Через переходы к родительским папкам и кодированные разделители атакующий получает доступ к конфигурационным файлам и закрытым ключам.
1. Наглядная схема работы фильтра и компилятора для DIR-TRV
Схема прохождения проверки по классу DIR-TRV: от формирования проверочной пары и перехвата разрушительных команд правилом SEC-ZD-FS-01 до фиксации свидетеля a17dfc4aef33a97d и выпуска правила IMMUNE-FS-A17DFC4A.
2. Перехват опасных мутаций и парный контроль обманкой (DIR-TRV)
Программный фильтр нулевого ущерба по правилу SEC-ZD-FS-01 допускает только безопасное чтение размеченной фикстуры стенда. Любые попытки перезаписи файлов, смены прав доступа, создания символьных ссылок или обращения к системным хранилищам паролей перехватываются до сетевого вызова.
При прогоне эталонного стенда испытатель сверяет обработку относительных путей на уязвимых обработчиках и на защищённых ручках, проверяющих префикс канонического пути. Все четыре сценария выборки классифицируются безошибочно: два истинно положительных и два истинно отрицательных решения.
Код класса: DIR-TRV (path_traversal)
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: GET /api/v1/vuln/traversal/report?file=../../etc/hostname
Перехваченная мутация: WRITE /etc/shadow; UNLINK /var/lib/postgresql/data
Матрица на стенде: TP = 2, FP = 0, TN = 2, FN = 0 (FPR = 0,0%)
Правило фильтра: SEC-ZD-FS-01
Хэш свидетеля: a17dfc4aef33a97d
Скомпилированный фильтр: IMMUNE-FS-A17DFC4A (время синтеза 10 µs)3. Автоматический выпуск защитного правила IMMUNE-FS-A17DFC4A
По зафиксированному свидетелю a17dfc4aef33a97d компилятор за 10 микросекунд формирует контракт IMMUNE-FS-A17DFC4A. Правило перехватчика отсекает переходы к вышестоящим каталогам, процентное кодирование косых черт и нулевые байты в именах файлов.
4. Соседние классы проверки на стенде INDRA
INJ-SQL: Внедрение кода в запросы реляционного хранилищаINJ-CMD: Внедрение команд операционной системыAUTH-BOLA: Неправомерный доступ к клиентским записямSSRF-INT: Подделка серверных запросов и обход через перенаправленияSEC-LEAK: Утечка аутентификационных токенов и секретовHDR-SEC: Отсутствие защитных заголовков ответаDOS-RSRC: Истощение вычислительных ресурсов (лабораторный режим)