Безопасность: код установки ретранслятора (M1), zip-slip 7z (M3), L1/L5/L2

Продолжение исправлений по security-аудиту. M1 (MEDIUM) — установщик PHP-ретранслятора был открыт без входа: до создания админа атакующий из интернета мог завести админа кабинета или подменить адрес ядра/ключ. Добавлен «код установки»: генерируется в файл install.lock рядом с данными (вне веб-корня), прочитать его можно только с доступом к файловой системе (FTP/файловый менеджер) — то есть владельцу сервера. Шаги connect и admin (включая «пропустить») требуют верный код. Регексп loopback заякорен (`http://127.0.0.1.attacker.com` больше не проходит как loopback). Код удаляется по завершении установки. Проверено встроенным php-сервером. M3 (MEDIUM) — распаковка 7z в мастере ключа (ExtractISO) сохраняла пути из архива → запись «../…» вышла бы за каталог. Перед распаковкой архив просматривается (7z l -slt, без записи); при абсолютном пути или выходе за корень распаковка отклоняется. Тест TestUnsafeArchivePath. L1 — target_device не проверялся перед root mount: значение не из списка съёмных теперь отклоняется (иначе root смонтировал бы произвольный девайс). L5 — likeEscape в ручном поиске DEPO (manualDepoSearch): метасимволы LIKE от пользователя больше не «расползаются» по базе. L2a — кука сессии ядра получает Secure и за TLS-терминирующим прокси на loopback (reqIsHTTPS учитывает X-Forwarded-Proto только от loopback). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL
2026-09-18 21:35:38 +03:00
parent d975957335
commit e16d4454ce
6 changed files with 159 additions and 5 deletions
@@ -917,6 +917,24 @@ func clientIP(r *http.Request) string {
 	return host
 }

+// reqIsHTTPS — запрос защищён TLS: напрямую или через доверенный (loopback)
+// TLS-терминирующий прокси, сообщивший X-Forwarded-Proto: https. Нужно, чтобы за
+// nginx на том же хосте кука сессии всё равно получала признак Secure.
+func reqIsHTTPS(r *http.Request) bool {
+	if r.TLS != nil {
+		return true
+	}
+	host, _, err := net.SplitHostPort(r.RemoteAddr)
+	if err != nil {
+		host = r.RemoteAddr
+	}
+	if ip := net.ParseIP(host); ip != nil && ip.IsLoopback() {
+		proto := strings.TrimSpace(strings.Split(r.Header.Get("X-Forwarded-Proto"), ",")[0])
+		return strings.EqualFold(proto, "https")
+	}
+	return false
+}
+
 func authMiddleware(rc *RuntimeConfig, next http.Handler) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		p := r.URL.Path
@@ -1046,7 +1064,7 @@ func registerAuth(mux *http.ServeMux, rc *RuntimeConfig) {
 			loginFailReset(key)
 			_ = globalUsers.update(u.Login, func(x *User) { x.LastLogin = time.Now() })
 			s := globalSessions.New(u.Login, clientIP(r), r.UserAgent())
-			http.SetCookie(w, &http.Cookie{Name: sessionCookie, Value: s.Token, Path: "/", HttpOnly: true, SameSite: http.SameSiteLaxMode, Secure: r.TLS != nil, MaxAge: int(sessionMaxLife.Seconds())})
+			http.SetCookie(w, &http.Cookie{Name: sessionCookie, Value: s.Token, Path: "/", HttpOnly: true, SameSite: http.SameSiteLaxMode, Secure: reqIsHTTPS(r), MaxAge: int(sessionMaxLife.Seconds())})
 			log.Printf("auth: вход %s (%s, %s) с %s", u.Login, u.Role, u.Source, clientIP(r))
 			if next == "" || next == "/login" {
 				next = u.Home()
@@ -306,12 +306,19 @@ func (h *setupHandlers) keyWizardInstall(w http.ResponseWriter, r *http.Request)
 	targetDev := strings.TrimSpace(r.FormValue("target_device"))
 	targetMnt := ""
 	if targetDev != "" {
+		found := false
 		for _, d := range listFlashDrives() {
 			if d.Device == targetDev {
-				targetMnt = d.Mountpoint
+				targetMnt, found = d.Mountpoint, true
 				break
 			}
 		}
+		// Устройство должно быть из списка обнаруженных съёмных: иначе root-воркер
+		// смонтировал бы произвольный блочный девайс/путь, переданный из формы.
+		if !found {
+			h.keyWizFlash(w, r, "Выбранное устройство не найдено среди съёмных носителей — обновите список и повторите.")
+			return
+		}
 	}

 	ctx, cancel := context.WithTimeout(r.Context(), 3*time.Minute)
@@ -71,7 +71,9 @@ func manualDepoSearch(rc *RuntimeConfig, q string) ([]manualDepoFace, string) {
 	defer db.Close()
 	digits := strings.ReplaceAll(q, " ", "")
 	// Действующая версия карточки (LAST_FLAG=1); счета привязаны к исходной записи (SELF_ID).
-	rows, err := db.QueryContext(ctx, fsql.Man01, sql.Named("q", q+"%"), sql.Named("d", digits))
+	// likeEscape: метасимволы LIKE (% _ [) в имени от пользователя означают сами себя,
+	// иначе поиск «расползается» по всей базе (wildcard-injection).
+	rows, err := db.QueryContext(ctx, fsql.Man01, sql.Named("q", likeEscape(q)+"%"), sql.Named("d", digits))
 	if err != nil {
 		return nil, "поиск в DEPO: " + err.Error()
 	}
@@ -11,6 +11,7 @@ import (
 	"fmt"
 	"os"
 	"os/exec"
+	"path"
 	"path/filepath"
 	"strings"
 	"time"
@@ -290,6 +291,16 @@ func ExtractISO(ctx context.Context, isoPath, password string) (Medium, error) {

 	cctx, cancel := context.WithTimeout(ctx, 5*time.Minute)
 	defer cancel()
+	// Защита от zip-slip: 7z x сохраняет пути из архива, поэтому запись «../…» ушла
+	// бы за dst. Сначала СПИСОК архива (не пишет на диск) — если есть абсолютный путь
+	// или выход за корень, распаковку не выполняем.
+	if bad, err := archiveUnsafePath(cctx, abs, password); err != nil {
+		_ = os.RemoveAll(dst)
+		return Medium{}, err
+	} else if bad != "" {
+		_ = os.RemoveAll(dst)
+		return Medium{}, fmt.Errorf("архив отклонён: небезопасный путь внутри (%s)", bad)
+	}
 	// 7z x -y -o<dst> [-p<pass>] <archive> — рекурсивное извлечение.
 	args := []string{"x", "-y", "-o" + dst}
 	if password != "" {
@@ -313,6 +324,53 @@ func ExtractISO(ctx context.Context, isoPath, password string) (Medium, error) {
 	return m, nil
 }

+// archiveUnsafePath — просматривает СПИСОК архива (7z l -slt, без записи на диск)
+// и возвращает первый небезопасный путь: абсолютный или выходящий за корень («..»).
+// Пустая строка — все пути безопасны.
+func archiveUnsafePath(ctx context.Context, archive, password string) (string, error) {
+	args := []string{"l", "-slt", "-ba"}
+	if password != "" {
+		args = append(args, "-p"+password)
+	} else {
+		args = append(args, "-p-")
+	}
+	args = append(args, archive)
+	out, err := exec.CommandContext(ctx, "7z", args...).CombinedOutput()
+	if err != nil {
+		return "", fmt.Errorf("7z l: %w / %s", err, strings.TrimSpace(string(out)))
+	}
+	for _, line := range strings.Split(string(out), "\n") {
+		line = strings.TrimRight(line, "\r")
+		v, ok := strings.CutPrefix(line, "Path = ")
+		if !ok {
+			continue
+		}
+		p := strings.TrimSpace(v)
+		if p != "" && unsafeArchivePath(p) {
+			return p, nil
+		}
+	}
+	return "", nil
+}
+
+// unsafeArchivePath — путь из архива опасен: абсолютный (Unix/Windows) или
+// выходящий за корень распаковки хотя бы одним компонентом «..».
+func unsafeArchivePath(p string) bool {
+	if strings.HasPrefix(p, "/") || strings.HasPrefix(p, `\`) || (len(p) >= 2 && p[1] == ':') {
+		return true
+	}
+	norm := strings.ReplaceAll(p, `\`, "/")
+	if clean := path.Clean(norm); clean == ".." || strings.HasPrefix(clean, "../") {
+		return true
+	}
+	for _, seg := range strings.Split(norm, "/") {
+		if seg == ".." {
+			return true
+		}
+	}
+	return false
+}
+
 func isoID(absPath string) string {
 	h := sha256.Sum256([]byte(absPath))
 	return hex.EncodeToString(h[:8])
@@ -0,0 +1,25 @@
+package lkgateway
+
+import "testing"
+
+// M3: пути с выходом за корень или абсолютные должны отклоняться перед 7z x.
+func TestUnsafeArchivePath(t *testing.T) {
+	unsafe := []string{
+		"../evil.txt", "../../etc/passwd", "a/../../b", "/etc/passwd",
+		`\windows\system32`, "C:/Windows/x", `dir\..\..\x`, "..",
+	}
+	for _, p := range unsafe {
+		if !unsafeArchivePath(p) {
+			t.Errorf("должен быть отклонён: %q", p)
+		}
+	}
+	safe := []string{
+		"boot/grub/grub.cfg", "isolinux/isolinux.bin", "a/b/c.txt",
+		"file.iso", "dir/sub/..file", "a..b/c", "x.tar",
+	}
+	for _, p := range safe {
+		if unsafeArchivePath(p) {
+			t.Errorf("ложное срабатывание на безопасном пути: %q", p)
+		}
+	}
+}