意図しないディレクトリ・ファイル露出のテスト #5112

kiy0taka · 2021-08-17T00:29:38Z

概要(Overview・Refs Issue)

セキュリティチェックシートの「意図しないディレクトリ・ファイルの露出」に対するテストを追加。

方針(Policy)

実装に関する補足(Appendix)

GitHub ActionsではパッケージングしてApacheにデプロイしたものに対してCodeceptionを実行しています。

テスト（Test)

相談（Discussion）

マイナーバージョン互換性保持のための制限事項チェックリスト

既存機能の仕様変更
フックポイントの呼び出しタイミングの変更
フックポイントのパラメータの削除・データ型の変更
twigファイルに渡しているパラメータの削除・データ型の変更
Serviceクラスの公開関数の、引数の削除・データ型の変更
入出力ファイル(CSVなど)のフォーマット変更

レビュワー確認項目

動作確認
コードレビュー
E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
互換性が保持されているか
セキュリティ上の問題がないか

codecov-commenter · 2021-08-17T01:04:54Z

Codecov Report

Merging #5112 (00b507e) into 4.1-beta3 (3c430bf) will not change coverage.
The diff coverage is n/a.

@@            Coverage Diff             @@
##           4.1-beta3    #5112   +/-   ##
==========================================
  Coverage      68.17%   68.17%           
==========================================
  Files            457      457           
  Lines          24980    24980           
==========================================
  Hits           17029    17029           
  Misses          7951     7951

Flag	Coverage Δ
tests	`68.17% <ø> (ø)`

Flags with carried forward coverage won't be shown. Click here to find out more.

Continue to review full report at Codecov.

Legend - Click here to learn more
Δ = absolute <relative> (impact), ø = not affected, ? = missing data
Powered by Codecov. Last update 3c430bf...00b507e. Read the comment docs.

okazy · 2021-08-17T02:50:04Z

ソースコードを確認して問題ありませんでした。

確認が必要な観点

開発ブランチ
テストケースが足りているか
過去の脆弱性が検知できるか
パッケージングに問題がないか

補足

codeception/module-phpbrowser が PHP7.3 以上

nanasess · 2021-08-18T01:26:58Z

プラグインを有効化していないように見えますが、大丈夫でしょうか？

kiy0taka · 2021-08-19T02:20:07Z

初期インストールプラグインを有効化してテストするようにしました。

okazy · 2021-08-23T01:57:04Z

実行結果詳細

Codeception PHP Testing Framework v4.1.21
Powered by PHPUnit 7.5.20 by Sebastian Bergmann and contributors.
Generating Customers ...........
Generating Products ....................
Generating Orders .................................
  Generating AcceptanceTesterActions...

Acceptance (chrome, local) Tests (4) -----------------------
Modules: REST, PhpBrowser, \Helper\Acceptance, WebDriver, Asserts, MailCatcher
------------------------------------------------------------
Testing acceptance (chrome, local)
CL01DenyCest: Deny files | "varが公開されていないか","var/cache/prod/annotations.map"
Signature: CL01DenyCest:denyFiles
Test: codeception/acceptance/CL01DenyCest.php:denyFiles
Scenario --
 I send get "var/cache/prod/annotations.map"
  [Request] GET http://127.0.0.1:8080/var/cache/prod/annotations.map
  [Request Headers] []
  [Page] http://127.0.0.1:8080/var/cache/prod/annotations.map
  [Response] 403
  [Request Cookies] []
  [Response Headers] {"Date":["Thu, 19 Aug 2021 02:18:42 GMT"],"Server":["Apache/2.4.25 (Debian)"],"X-Frame-Options":["SAMEORIGIN"],"Content-Length":["276"],"Content-Type":["text/html; charset=iso-8859-1"]}
  [Response] <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
  <html><head>
  <title>403 Forbidden</title>
  </head><body>
  <h1>Forbidden</h1>
  <p>You don't have permission to access this resource.</p>
  <hr>
  <address>Apache/2.4.25 (Debian) Server at 127.0.0.1 Port 8080</address>
  </body></html>
  
 I see response code is 403
 PASSED 

CL01DenyCest: Deny files | ".envが公開されていないか",".env"
Signature: CL01DenyCest:denyFiles
Test: codeception/acceptance/CL01DenyCest.php:denyFiles
Scenario --
 I send get ".env"
  [Request] GET http://127.0.0.1:8080/.env
  [Request Headers] []
  [Page] http://127.0.0.1:8080/.env
  [Response] 403
  [Request Cookies] []
  [Response Headers] {"Date":["Thu, 19 Aug 2021 02:18:43 GMT"],"Server":["Apache/2.4.25 (Debian)"],"X-Frame-Options":["SAMEORIGIN"],"Content-Length":["276"],"Content-Type":["text/html; charset=iso-8859-1"]}
  [Response] <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
  <html><head>
  <title>403 Forbidden</title>
  </head><body>
  <h1>Forbidden</h1>
  <p>You don't have permission to access this resource.</p>
  <hr>
  <address>Apache/2.4.25 (Debian) Server at 127.0.0.1 Port 8080</address>
  </body></html>
  
 I see response code is 403
 PASSED 

CL01DenyCest: Deny files | "vendorが公開されていないか","vendor/symfony/config/README.md"
Signature: CL01DenyCest:denyFiles
Test: codeception/acceptance/CL01DenyCest.php:denyFiles
Scenario --
 I send get "vendor/symfony/config/README.md"
  [Request] GET http://127.0.0.1:8080/vendor/symfony/config/README.md
  [Request Headers] []
  [Page] http://127.0.0.1:8080/vendor/symfony/config/README.md
  [Response] 403
  [Request Cookies] []
  [Response Headers] {"Date":["Thu, 19 Aug 2021 02:18:43 GMT"],"Server":["Apache/2.4.25 (Debian)"],"X-Frame-Options":["SAMEORIGIN"],"Content-Length":["276"],"Content-Type":["text/html; charset=iso-8859-1"]}
  [Response] <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
  <html><head>
  <title>403 Forbidden</title>
  </head><body>
  <h1>Forbidden</h1>
  <p>You don't have permission to access this resource.</p>
  <hr>
  <address>Apache/2.4.25 (Debian) Server at 127.0.0.1 Port 8080</address>
  </body></html>
  
 I see response code is 403
 PASSED 

CL01DenyCest: Deny files | "codeceptionが公開されていないか","codeception/acceptance/config.ini"
Signature: CL01DenyCest:denyFiles
Test: codeception/acceptance/CL01DenyCest.php:denyFiles
Scenario --
 I send get "codeception/acceptance/config.ini"
  [Request] GET http://127.0.0.1:8080/codeception/acceptance/config.ini
  [Request Headers] []
  [Page] http://127.0.0.1:8080/codeception/acceptance/config.ini
  [Response] 403
  [Request Cookies] []
  [Response Headers] {"Date":["Thu, 19 Aug 2021 02:18:43 GMT"],"Server":["Apache/2.4.25 (Debian)"],"X-Frame-Options":["SAMEORIGIN"],"Content-Length":["276"],"Content-Type":["text/html; charset=iso-8859-1"]}
  [Response] <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
  <html><head>
  <title>403 Forbidden</title>
  </head><body>
  <h1>Forbidden</h1>
  <p>You don't have permission to access this resource.</p>
  <hr>
  <address>Apache/2.4.25 (Debian) Server at 127.0.0.1 Port 8080</address>
  </body></html>
  
 I see response code is 403
 PASSED 

------------------------------------------------------------
DEPRECATION: 'settings: bootstrap: _bootstrap.php' option is deprecated! Replace it with: 'bootstrap: _bootstrap.php' (not under settings section). See https://bit.ly/2YrRzVc 


Time: 6.26 seconds, Memory: 460.20 MB

OK (4 tests, 4 assertions)

okazy · 2021-08-23T04:39:15Z

パッケージング結果に、ライブラリ関連以外の差分がないことを確認しました。

.htaccess を無効化して、アクセス制御をした際に検知できることを確認しました。
okazy#96
https://github.com/okazy/ec-cube/runs/3396685374?check_suite_focus=true

okazy · 2021-08-23T04:57:54Z

@kiy0taka
動作確認して問題ありませんでした。

4.1-beta3 ブランチにプルリクをいただいていますが、こちらの内容は 4.1 ブランチに反映すべき内容かと思います。
現状 4.1 ブランチではプラグイン込みでパッケージングができないんですが、こちらどのように対応するのがよろしいでしょうか？

okazy

いったん 4.1-beta3 ブランチに取り込み、 4.1 ブランチに取り込めたらと思います。

okazy · 2021-08-24T05:58:22Z

ありがとうございます。取り込みました。

kiy0taka added 2 commits August 16, 2021 19:03

added CL01DenyCest

4a5b440

deny-test

a9c9001

okazy changed the base branch from 4.1-beta3 to 4.1 August 17, 2021 02:33

okazy changed the base branch from 4.1 to 4.1-beta3 August 17, 2021 02:33

okazy added the improvement 機能改善 label Aug 17, 2021

okazy added this to the 4.1 milestone Aug 17, 2021

初期インストールプラグインを有効化する

00b507e

okazy approved these changes Aug 24, 2021

View reviewed changes

okazy added the Status: ready-for-merge label Aug 24, 2021

okazy merged commit 6dbd050 into EC-CUBE:4.1-beta3 Aug 24, 2021

okazy mentioned this pull request Aug 24, 2021

4.1 beta3 ブランチの内容を取り込み #5118

Merged

11 tasks

matsuoshi mentioned this pull request Sep 10, 2021

【週刊】取り込んだプルリクエスト #4595

Open

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

意図しないディレクトリ・ファイル露出のテスト #5112

意図しないディレクトリ・ファイル露出のテスト #5112

kiy0taka commented Aug 17, 2021 •

edited by okazy

codecov-commenter commented Aug 17, 2021 •

edited

okazy commented Aug 17, 2021 •

edited

nanasess commented Aug 18, 2021

kiy0taka commented Aug 19, 2021

okazy commented Aug 23, 2021

okazy commented Aug 23, 2021

okazy commented Aug 23, 2021

okazy left a comment

okazy commented Aug 24, 2021

意図しないディレクトリ・ファイル露出のテスト #5112

意図しないディレクトリ・ファイル露出のテスト #5112

Conversation

kiy0taka commented Aug 17, 2021 • edited by okazy

概要(Overview・Refs Issue)

方針(Policy)

実装に関する補足(Appendix)

テスト（Test)

相談（Discussion）

マイナーバージョン互換性保持のための制限事項チェックリスト

レビュワー確認項目

codecov-commenter commented Aug 17, 2021 • edited

Codecov Report

okazy commented Aug 17, 2021 • edited

nanasess commented Aug 18, 2021

kiy0taka commented Aug 19, 2021

okazy commented Aug 23, 2021

okazy commented Aug 23, 2021

okazy commented Aug 23, 2021

okazy left a comment

Choose a reason for hiding this comment

okazy commented Aug 24, 2021

kiy0taka commented Aug 17, 2021 •

edited by okazy

codecov-commenter commented Aug 17, 2021 •

edited

okazy commented Aug 17, 2021 •

edited