GitHub遭遇Mass Assignment漏洞攻击

最新推荐文章于 2024-12-26 19:31:49 发布

糖糖糖糖糖糖糖糖糖糖糖糖糖糖糖糖糖糖

最新推荐文章于 2024-12-26 19:31:49 发布

阅读量384

点赞数

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/cpongo4/article/details/89086905

GitHub近期遭受RubyonRails中的massassignment漏洞攻击。此漏洞影响基于Ruby的网站，并波及使用ASP.NET MVC等ORM Web框架的站点。开发人员不慎混合使用massassignment与ORM导致敏感数据被篡改。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

GitHub最近遭遇了一场Ruby on Rails漏洞攻击，该漏洞被称为mass assignment。此漏洞被认为不仅影响了大量基于Ruby的网站，还对使用ASP.NET MVC和其他ORM Web框架的网站造成了破坏。

Mass assignment用于将表单数据映射为对象，它在单独使用时是一项安全且高效的技术。这与ASP.NET中的数据绑定异曲同工，并且后者在单独使用时也同样很安全。其实，真正的漏洞是由于粗心大意地混用了mass assignment和ORM。

考虑这样的场景：数据库包含一张“用户”表，其中混杂了敏感和非敏感数据，例如可能有些列代表用户显示姓名、电子邮件地址以及是否为管理员。开发人员希望创建一个页面修改显示姓名及电子邮件地址。为了达到这个目的，他们使用Rails或MVC脚手架自动生成了域对象，或许还有view本身。接下去，他们将用户无法编辑的字段，如“是否为管理员”复选框从view中移除。

如果开发人员忘记将IsAdministrator属性从域对象中移除，那么一个安全漏洞便就此产生。如果他们没有进行移除，那么mass assignment或数据绑定器可能会陷入某种圈套，它们会在合法改动中更新不该修改的属性。接下去，当记录保存时，ORM库会悄无声息地存储新值。

有三种靠谱的方案可以解决该问题：