Всем привет!
Разбор (parsing) данных, получаемых от непроверенных источников, может привести к разным последствиям.
Например, обходу аутентификации, нарушению авторизации, эксфильтрации чувствительных данных и не только.
В статье Trail of Bits Авторы исследуют насколько хороши различные Golang parsers с точки зрения информационной безопасности: можно ли им доверять по умолчанию, можно ли их делать более безопасными и что (не) следует использовать.
Для анализа используется несколько наиболее популярных библиотек для работы с JSON, XML и YAML.
После небольшой вводной про
Marshalling и Unmarshalling Авторы переходят к самому интересному – сценариям атак.Рассматривается:
🍭 (Un)Marshalling unexpected data
🍭 Parser differentials
🍭 Data format confusion
Для каждого сценария приводят примеры не-всегда-очевидного-или-документированного поведения и Semgrep-правила для того, чтобы можно было найти аналогичное поведение в анализируемых вами приложениях.
Завершает статью набор общих рекомендаций о том, как минимизировать риски при работе с JSON, XML, YAML.
Множество примеров, кода, пояснений! Рекомендуем к изучению!
