security - 如何使用 check 防止恶意 Meteor 订阅

Question

我在我的 meteor 应用程序中发现了一个关于订阅的重要安全错误(也许方法也受此影响)。

尽管我使用 check 包和 check() 确保在出版物中接收到正确的参数数据类型，但我已经意识到，如果用户恶意订阅对于具有错误参数数据类型的订阅，它会影响使用同一订阅的所有其他用户，因为当恶意用户使用不正确的参数时， meteor 服务器未运行该发布。

如何防止这种情况发生？

使用的包:

aldeed:collecti<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="ddb2b3eff0beb2afb89deff3edf3ec" rel="noreferrer noopener nofollow">[email protected]</a>
<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="e08195848994cd819287958d858e94cd838885838b93a0d1ced0ced7" rel="noreferrer noopener nofollow">[email protected]</a>
mdg:validated-method

和 npm

从 'meteor/check' 导入 { check, Match };

服务器端:

Meteor.publish('postersPub', function postersPub(params) {
    check(params, {
        size: String,
        section: String,
    });
    return Posters.find({
        section: params.section,
        size: params.size === 'large' ? 'large' : 'small',
    }, {
        // fields: { ... }
        // sort: { ... }
    });
});

客户端:

// in the template:
Meteor.subscribe('postersPub', { size: 'large', section: 'movies' });

// Malicious user in the browser console:
Meteor.subscribe('postersPub', { size: undefined, section: '' });

问题:恶意用户订阅阻止所有其他用户从其 postersPub 订阅中获取答案。

额外说明:我还尝试使用 try catch 包装检查 block 和整个发布，但它不会改变效果。错误从服务器控制台消失，但其他用户继续受到影响，并且无法从恶意用户正在影响的订阅中获取数据。

Answer 1

检查方法和空字符串

关于 check 和字符串，需要了解一件事，那就是它接受空字符串，例如 ''，您基本上在恶意示例中显示了这些空字符串。

无法保证解决您的发布问题，我至少可以建议您修改您的检查代码并包含对非空字符串的检查。

一种可能的方法是:

import { check, Match } from 'meteor/check';

const nonEmptyString = Match.Where(str => typeof str === 'string' && str.length > 0);

然后可以在 check 中使用，如下所示:

check(params, {
    size: nonEmptyString,
    section: nonEmptyString,
});

更严格的检查

您可能对接受的参数更加严格，并将它们减少到有效条目的子集。例如:

const sizes = ['large', 'small'];
const nonEmptyString = str => typeof str === 'string' && str.length > 0;
const validSize = str => nonEmptyString(str) && sizes.indexOf( str) > -1;

check(params, {
    size: Match.Where(validSize),
    section: Match.Where(nonEmptyString),
});

请注意，这还可以帮助您避免基于参数的查询逻辑。您可以更改以下代码

const posters = Posters.find({
    section: params.section,
    size: params.size === 'large' ? 'large' : 'small',
}, {
    // fields: { ... }
    // sort: { ... }
});

到

const posters = Posters.find({
    section: params.section,
    size: params.size,
}, {
    // fields: { ... }
    // sort: { ... }
});

因为该方法无论如何只接受 large 或 small 之一作为参数。

回退出版物中未定义的游标

另一种可以支持您防止发布错误的模式是，如果集合没有返回游标，则调用 this.ready() (无论出于何种原因，最好编写良好的测试来防止出现这些情况) )。

const posters = Posters.find({
    section: params.section,
    size: params.size === 'large' ? 'large' : 'small',
}, {
    // fields: { ... }
    // sort: { ... }
});

// if we have a cursor with count
if (posters && posters.count && posters.count() >= 0)
    return posters;

// else signal the subscription
// that we are ready
this.ready();

组合代码示例

应用上述所有模式将使您的函数看起来像这样:

import { check, Match } from 'meteor/check';

const sizes = ['large', 'small'];
const nonEmptyString = str => typeof str === 'string' && str.length > 0;
const validSize = str => nonEmptyString(str) && sizes.indexOf( str) > -1;



Meteor.publish('postersPub', function postersPub(params) {
    check(params, {
        size: Match.Where(validSize),
        section: Match.Where(nonEmptyString),
    });


    const posters = Posters.find({
        section: params.section,
        size: params.size,
    }, {
        // fields: { ... }
        // sort: { ... }
    });

    // if we have a cursor with count
    if (posters && posters.count && posters.count() >= 0)
        return posters;

    // else signal the subscription
    // that we are ready
    this.ready();
});

摘要

我自己发现，通过良好的check匹配和this.ready()，我的应用程序中的出版物问题已减少到最低限度。