クエリ文字列からヌルバイトインジェクションを防ぐ方法

Question

Nessus Vulnerability Scannerは、レガシーコードのWebサイトに対して実行されました。 ヌルバイト注入 PHPでの攻撃がありますが、これをVBScriptで従来のASPで修正する方法は見つかりませんでした。

ここに私たちの公共サイト上でスキャナの攻撃です：

http://www.mortgagedataweb.com/mds/marketshare/ParmsV2.asp?Menu=%00<"kzwezl%20> 

私はQueryString入力に有効性チェックを追加しようとしましたが、私の努力が働いていません。 %00については、適切な値をチェックしようとする試みが隠されてしまいます。ここではいくつかの関連するコードスニペットは、次のとおり適切です

Function getUserInput(input)  
    Dim newString 
    If Len(input) = 0 Then 
     getUserInput = "" 
     Exit Function 
    End If 
    newString = input  'this was omitted in original post but was in fact in the code 
    newString = Replace(newString, Chr(0), "") 'I thought this would fix it ! 
    newString = Replace(newString, "--", "") 
    newString = Replace(newString, ";", "")   
    newString = Replace(newString, Chr(34),"'") 
    newString = Replace(newString, "'", "") 
    newString = Replace(newString, "=", "=") 
    newString = Replace(newString, "(", "[") 
    newString = Replace(newString, ")", "]") 
    newString = Replace(newString, "'", "''") 
    newString = Replace(newString, "<", "[") 
    newString = Replace(newString, ">", "]") 
    newString = Replace(newString, "/*", "/") 
    newString = Replace(newString, "*/", "/") 
    getUserInput = newString 
End Function 

implied_Menu = UCase(getUserInput(Request.QueryString("Menu"))) 'store Menu value for Fast-Path link 
Select Case implied_Menu 
    Case "FHA_ZP", "C_ZP", "J_ZP", "F_ZP" 
     implied_SQLName = MARKETSHAREZip 
    Case "P_ALL", "P_MA", "P_ST", "P_ZP", "P_CT", "P_NATION" 
     implied_SQLName = PMIMARKETSHARE 
    Case "FHA_ALL_D", "FHA_MA_D", "FHA_ST_D", "FHA_CT_D", "FHA_ZP_D", "FHA_NATION_D" 
     implied_SQLName = FHAMARKETSHAREDETAILS 
    Case "" 
     implied_SQLName = MARKETSHARE 
    Case Else 
     Response.Write("<h2>Invalid Menu parameter</h2>") 
     Response.End 
End Select 

メニューの値がされている次のいずれか

• 完全に欠落している有効な一連の
• 部分（つまりはMenu=はQueryStringではないが、あります）値がSelect Caseロジック上にスケッチされている

私の開発マシンでは、%00を次のように変更できます。 %0と表示され、エラーがResponse.Writeというメッセージで表示されている場合は、Response.Endとなりますが、%00に関するものが自分のチェックを過ぎてしまいます。

Answer 1

私はreqular式でこれを処理することをお勧め：

function getUserInput(sInput) 
    Dim obj_regex 
    Set obj_regex = New RegExp 

    obj_regex.IgnoreCase = true 
    obj_regex.Global = true 
    obj_regex.Pattern = "\W" 

    getUserInput = obj_regex.Replace(sInput, "") 
    set obj_regex = Nothing 
end function 

すべてのメニュー項目は英数字のみであり、下線ので、あなたが他のすべての文字を置き換えることができます。