使用间接方法防止 Log Forging 攻击:创建一组与不同事件一一对应的合法日志条目,这些条目必须记录在日志中,并且仅记录该组条目。要捕获动态内容(如用户注销系统),请务必使用由服务器控制的数值,而非由用户提供的数据。这就确保了日志条目中绝不会直接使用由用户提供的输入。
解决方案:
创建过滤引起Log Forging漏洞的敏感字符的公共方法。该方法会过滤掉log里面的敏感词语。需要日志输出是,先把日志信息通过该方法过滤一次就好,漏洞解除。
使用间接方法防止 Log Forging 攻击:创建一组与不同事件一一对应的合法日志条目,这些条目必须记录在日志中,并且仅记录该组条目。要捕获动态内容(如用户注销系统),请务必使用由服务器控制的数值,而非由用户提供的数据。这就确保了日志条目中绝不会直接使用由用户提供的输入。
解决方案:
创建过滤引起Log Forging漏洞的敏感字符的公共方法。该方法会过滤掉log里面的敏感词语。需要日志输出是,先把日志信息通过该方法过滤一次就好,漏洞解除。