/etc/reflection – размышления на тему…

Mass Assignment (массовое назначение) является причиной уязвимостей сайтов на rails с момента появления фреймворка на свет. О�?ибка программиста, как зачастую это бывает, сводится к отсутствию проверки входных параметров.
Для примера создадим простенькое приложение

$ rails massVul
$ cd massVul/
$ script/generate scaffold user name:string admin:boolean

Таким образом мы создадим основу для приложения с пользователями, в которой можно указать имя в поле name, а также есть поле admin, которое легко использовать при разграничении прав пользователей. К примеру запросом, является ли этот пользователь администратором, и если да, то позволяются ему определенные действия. Конечно, мы не настолько глупы чтобы позволять обычным пользователям ставить галочку, поэтому мы правим на�? вид и удаляем все что связано с галочкой admin.

<!-- app/views/users/new.html.erb -->
<h1>New user</h1>
<% form_for(@user) do |f| %>
  <%= f.error_messages %>
  <p>
    <%= f.label :name %><br />
    <%= f.text_field :name %>
  </p>
  <p>
    <%= f.label :admin %><br />  <!-- то есть вот -->
    <%= f.check_box :admin %>  <!-- эти строчки -->
  </p>
  <p>
    <%= f.submit 'Create' %>
  </p>
<% end %>
<%= link_to 'Back', users_path %>

Ту же операцию необходимо провести с видом app/views/users/update.html.erb. �? новичок девелопер начинает думать, что теперь нет никакой возможности поставить галочку(1ку, true) в таблицу, в чем и о�?ибается. Давайте теперь посмотрим на контроллер users_controller.rb и найдем следующую строчку.

# app/controllers/users_controller.rb
    @user = User.new(params[:user])

Вот здесь и происходит массовое присвоение, ведь все что передается в параметрах params напрямую передается в модель юзеров. Злоумы�?ленник же может сделать страничку, ну или просто послать пост запрос, в котором передаст похожие данные:

:user => { :name => hacker, :admin => 1}

и обретет администраторские права.
Логичным выводом из вы�?еописанной проблемы будет не забывать проверять входные данные и сохранять только те, что позволены к сохранению программистом. Следует заметить что по умолчанию к mass assign’у допускаются абсолютно все параметры.

Для того чтобы не допустить возможности изменения определенного параметра зачастую используется attr_protected, который не допускает к массовому назначению тех параметров, которые указаны в качестве аргумента к методу.

# app/models/user.rb
class User < ActiveRecord::Base
  attr_protected :admin
end

Таким образом злоумы�?ленник не сможет изменить параметр admin. Но следует учесть, что с на�?ей моделью пользователя зачастую связаны и другие модели, например создание списка задач или создание статей в случае с блогом. Таким образом злоумы�?ленник может создать специальный запрос и к на�?ему пользователю добавить или удалить задачу, удалить статью и так далее.

Ре�?ением данной проблемы будет являться использование attr_accessible в модели. После появления в модели attr_accessible к массовому присвоению становятся доступны только те параметры, что указаны в качестве аргументов к attr_accessible, а все остальные запрещены.

# app/models/user.rb
class User < ActiveRecord::Base
  attr_accessible :name
end

К слову, nifty-generators по умолчанию генерируют модель и автоматически дописывает строку attr_accesible со всем списком параметров, переданных при создании скаффолда. Так что, чтобы не допустить возможность о�?ибки из-за массового присвоения, необходимо после создания скаффолда из модели удалить те параметры, что запрещены к изменению через массовое присвоение.

Подводя итог, скажем, что использование attr_protected и attr_accessor противоположны по значению. attr_protected закрывает возможность изменения параметров через mass assignment в тот момент когда все другие параметры открыты, attr_accessible открывает возможность изменения параметров через mass assignment, когда все другие закрыты.

�?спользование attr_protected и attr_accessible – не единственный способ избежания данной уязвимости, но самый простой. Ко всему прочему существуют плагины для обнаружения уязвимости, ведь зачастую очень легко забыть дописать строчку или же бывает необходимость проверить какой-либо плагин, используемый в приложении, не приведет ли он к уязвимости. Вот один из них: установка и проверка приложения всего за 2 действия.

$ script/plugin install git://github.com/mhartl/find_mass_assignment.git
$ rake find_mass_assignment