經得起原始碼資安弱點掃描的程式設計習慣培養(十)_Heap Inspection

經得起原始碼資安弱點掃描的程式設計習慣培養(十)_Heap Inspection

- 11月 07, 2021

接續前幾篇系列

經得起原始碼資安弱點掃描的程式設計習慣培養(一)_OWASP Top 10(十大網站安全風險)_學習寫更安全程式碼的網站推薦

經得起原始碼資安弱點掃描的程式設計習慣培養(二)_8.Insecure Deserialization ：不安全的反序列化漏洞ASP.NET處理方式

經得起原始碼資安弱點掃描的程式設計習慣培養(三)_7.Cross Site Scripting(XSS)_Stored XSS_Reflected XSS All Clients

經得起原始碼資安弱點掃描的程式設計習慣培養(四)_1.Injection注入攻擊_SQL Injection)_order by 語句正確參數化套入

經得起原始碼資安弱點掃描的程式設計習慣培養(四)_2.Injection注入攻擊_SQL Injection_In語句正確參數化套入

經得起原始碼資安弱點掃描的程式設計習慣培養(五)_Missing HSTS Header

經得起原始碼資安弱點掃描的程式設計習慣培養(六)_Path Traversal

經得起原始碼資安弱點掃描的程式設計習慣培養(七)_Code Injection

經得起原始碼資安弱點掃描的程式設計習慣培養(八)_Client DOM XSS

經得起原始碼資安弱點掃描的程式設計習慣培養(九)_Use of Cryptographically Weak PRNG(Pseudo-Random Number Generator)

風險:

應用程式在未加密的memory中存儲的所有變數都可能被主機特權User(privileged access)未經授權的檢索。

例如，特權攻擊者可以對正在執行的process掛上debugger，也可能從swapfile

或crash dump file中檢索process's memory。一旦攻擊者

在Memory中找到User的密碼，就可以輕鬆的假冒User進入系統。

如何避免:

字串變數是不變的(immutable)

換言之，一旦分配了字串變數，就無法更改或刪除其值。

因此，這些字串可能會無限期的留存在memory中，而且

可能分散在多個位置中，直到垃圾收集器(garbage collector)將其刪除。

敏感資料，例如密碼，將作為明文在memory中暴露，無法控制其生命週期。

不要將敏感資料(如password或encryption key)以明文形式存儲在memory中，時間再短都不要。

建議使用專為store encrypted memory設計的Class。

或者，將機敏資料存在可變類型中(如byte array)，使用完立即將array中每個byte位歸零。

在.NET中，不要將密碼儲存在不可變的string中，

建議使用encrypted memoryobject，例如SecureString或ProtectedData。

這裡只需要透過SecureString來存放即可避免該風險

也可以封裝extension method來解省後續重複寫很多修正code的部分

extension method用上癮了

using System;
using System.Collections.Generic;
using System.Linq;
using System.Runtime.InteropServices;
using System.Security;
using System.Web;

/// <summary>
/// SecureStringExtension 的摘要描述
/// </summary>
public static class SecureStringExtension
{
    public static SecureString GetSecureString(this string val)
    {
        SecureString result = new SecureString();
        foreach (Char ch in val)
        {
            result.AppendChar(ch);
        }
        return result;
        result.Dispose();
        result.Clear();
    }



    public static string SecureStrToString(this SecureString val)
    {
        IntPtr ptrVal = IntPtr.Zero;
        try
        {
            ptrVal = Marshal.SecureStringToGlobalAllocUnicode(val);
            return Marshal.PtrToStringUni(ptrVal);
        }
        catch (Exception)
        {
            throw;
        }
        finally
        {
            Marshal.ZeroFreeGlobalAllocUnicode(ptrVal);
        }
    }


}

留言