仅使用replaceAll（“\r”,“_”）传递Veracode CWE 117（日志的不正确输出中和）。replaceAll（“\n”,“_”）

Question

我在一些论坛上读到这样的神话，即通过这样的操作就足以通过Veracode CWE 117（日志的不适当输出中和）问题。有人能证实是不是这样吗？

 message.replaceAll("\r", "_").replaceAll("\n", "_");

从这个主题如何修复Veracode CWE 117（日志的不正确输出中和）中，我了解到我需要做一些类似的事情

ESAPI.encoder().encodeForHTML(message);

Answer 1

需要对消息所在的上下文进行转义。ESAPI记录器确实会替换\r和\n字符，如果配置为html的话，还会替换为html编码。

目前，这段代码给了我一个来自Veracode的CWE 117：

log.log(Level.WARNING, System.getenv("unsafe"));

此代码不：

log.log(Level.WARNING, ESAPI.encoder().encodeForHTML(System.getenv("unsafe")));

encodeForHTML将\r和\n分别编码为&xd；和&xa；，但是下划线更加清晰，而且如果对html进行解码，可能会出现意外的新行。