文件名或路径的外部控制 Veracode 扫描问题

Question

我在 asp.net 中有一个应用程序，它使用 Veracode 扫描来检测应用程序中的任何安全漏洞。扫描我的功能之一时显示以下错误“文件名或路径的外部控制”。有谁知道如何解决这个错误？

示例代码：

if (!Directory.Exists(fullPath))
            Directory.CreateDirectory(fullPath);

我已尝试验证 fullPath 参数是否存在无效字符，请参阅下面的 url。但问题仍然存在。谁能帮我解决这个问题？谢谢。

http://www.howtoasp.net/asp-net-security-tutorials/how-to-control-path-composition-to-protect-asp-net-web-application-from-directory-traversal-vulnerability-in-c/

Answer 1

这主要是因为文件路径、文件流或流写入器。确保使用输入验证路径。 Veracode 认为黑客可以添加一个路径，比如 windows/importantfile 并尝试访问该文件夹。

如果您没有通过输入验证您的路径，这个缺陷可能会出现 veracode。

请查看链接了解更多信息。 Veracode directory traversal Issue c#