Path traversal

/// <summary>/// Không kiểm CHUỖI, kiểm KẾT QUẢ.////// Lý do là bảng cách viết ở khối 3: ../ viết được bằng ít nhất bảy cách, và danh/// sách đó vẫn đang dài ra. Canonical hoá rồi so sánh thì không quan tâm người ta/// viết bằng cách nào — nó chỉ hỏi "file cuối cùng nằm ở đâu"./// </summary>public static class SafePath{    /// <summary>    /// Trả về đường dẫn tuyệt đối an toàn, hoặc null nếu nó ra ngoài gốc.    ///    /// null chứ không throw, và caller trả 404 chứ không 400: một 400 "invalid    /// path" xác nhận cho kẻ tấn công là bộ lọc tồn tại và họ đang đi đúng hướng.    /// </summary>    public static string? ResolveWithin(string root, string userInput)    {        if (string.IsNullOrWhiteSpace(userInput)) return null;         // Dấu phân tách ở CUỐI gốc. Thiếu nó thì /srv/files-secret/x khớp tiền tố        // với /srv/files — một lỗi thầm lặng chỉ lộ ra khi có thư mục anh em.        var canonicalRoot = Path.GetFullPath(root)            .TrimEnd(Path.DirectorySeparatorChar) + Path.DirectorySeparatorChar;         // GetFullPath co MỌI ../, ..\, ....//, và mọi cách viết đã được giải mã        // xong ở tầng trên. Đây là bước thay thế cho toàn bộ ý tưởng blocklist.        var candidate = Path.GetFullPath(Path.Combine(canonicalRoot, userInput));         if (!candidate.StartsWith(canonicalRoot, StringComparison.Ordinal))            return null;         // Symlink: GetFullPath KHÔNG đi theo link, nên tới đây một link nằm trong        // /srv/files trỏ ra /etc/passwd vẫn đi qua mọi kiểm ở trên. Đây là bước bị        // bỏ nhiều nhất và là bước duy nhất bắt được nó.        var finalTarget = File.ResolveLinkTarget(candidate, returnFinalTarget: true);        if (finalTarget is not null &&            !Path.GetFullPath(finalTarget.FullName).StartsWith(canonicalRoot, StringComparison.Ordinal))            return null;         return candidate;    }} [HttpGet("/api/files/download")]public IActionResult Download(string name){    var path = SafePath.ResolveWithin("/srv/files", name);     // 404 cho cả "ra ngoài gốc" lẫn "không tồn tại": hai trường hợp không được    // phân biệt được từ bên ngoài, nếu không thì mã trạng thái trở thành một    // kênh dò cấu trúc thư mục.    if (path is null || !System.IO.File.Exists(path))        throw new NotFoundException(ContentErrorsList.FILE_NOT_FOUND);     return PhysicalFile(path, "application/octet-stream");} /// <summary>/// Zip Slip: cùng phép kiểm, đặt TRƯỚC khi ghi. Kiểm sau khi giải nén là vô nghĩa —/// file đã nằm trên đĩa rồi./// </summary>public void Extract(string zipPath, string dest){    using var archive = ZipFile.OpenRead(zipPath);     long totalBytes = 0;    const long MaxTotal = 500L * 1024 * 1024;   // trần chống zip bomb     foreach (var entry in archive.Entries)    {        if (entry.FullName.EndsWith('/')) continue;          // thư mục         var target = SafePath.ResolveWithin(dest, entry.FullName);        if (target is null)            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE,                $"Archive entry escapes the destination: {entry.FullName}");         totalBytes += entry.Length;        if (totalBytes > MaxTotal)            throw new ApplicationGeneralException(ContentErrorsList.INVALID_SOURCE, "Archive too large");         Directory.CreateDirectory(Path.GetDirectoryName(target)!);        entry.ExtractToFile(target, overwrite: false);        // false: không ghi đè    }}

from pathlib import Path from flask import abort, send_file ROOT = Path("/srv/files").resolve()  def resolve_within(root: Path, user_input: str) -> Path | None:    """Trả về đường dẫn an toàn, hoặc None nếu nó ra ngoài gốc.     Python tiện hơn .NET ở đúng một điểm và đó là điểm quan trọng nhất:    Path.resolve() vừa co ../ vừa ĐI THEO symlink, nên hai bước riêng của bản C#    gộp làm một ở đây và không có cách nào quên bước thứ hai.    """    if not user_input or user_input.isspace():        return None     # strict=False: file chưa tồn tại vẫn resolve được, cần cho luồng ghi.    candidate = (root / user_input).resolve(strict=False)     # is_relative_to so theo THÀNH PHẦN đường dẫn, không so tiền tố chuỗi — nên    # /srv/files-secret không khớp với /srv/files, và ta không cần tự nhớ đặt dấu    # phân tách ở cuối như bản C#.    if not candidate.is_relative_to(root):        return None     return candidate  @app.get("/api/files/download")def download():    path = resolve_within(ROOT, request.args.get("name", ""))     # 404 cho cả hai trường hợp: "ra ngoài gốc" và "không tồn tại" không được    # phân biệt được từ bên ngoài.    if path is None or not path.is_file():        abort(404)     return send_file(path)