qing
5fbe3ed5e4
逐模块对照实际代码验证审计报告中的问题修复状态，添加代码验证记录、逐条验证结果、修复率统计。合并aibox两份审计报告，删除重复文件。修复率：confs 61% > dnfs 60% > ai_review 50% > smtp 37.5% > db 33% > core 12.5% > gateway 12.5% > pymsg 6.25% > static 5% > captcha/aibox/BotOps 0%
134 lines
6.8 KiB
Markdown
134 lines
6.8 KiB
Markdown
# gateway 模块安全审计报告
|
||
|
||
**审计日期**: 2026-08-01
|
||
**审计范围**: `src/main.cpp`、`src/shared/`（libth、libhttp、libcrypt、libsqlite3）
|
||
**代码版本**: dev_qing 分支
|
||
|
||
---
|
||
|
||
## 修复进度
|
||
|
||
| 优先级 | 总数 | 已修复 | 部分修复 | 未修复 |
|
||
|--------|------|--------|----------|--------|
|
||
| P0 | 1 | 0 | 1 | 0 |
|
||
| P1 | 5 | 0 | 1 | 4 |
|
||
| P2 | 2 | 1 | 0 | 1 |
|
||
| **合计** | **8** | **1** | **2** | **5** |
|
||
|
||
---
|
||
|
||
## 🔴 P0 — 严重问题
|
||
|
||
### P0-1: RSA 私钥存储在仓库中/硬编码
|
||
- **位置**: `main.cpp` L669 `_KEYGEN = std::make_unique<MyRSA::Generator>();`
|
||
- **当前状态**: ⚠️ 部分修复
|
||
- 密钥由 `MyRSA::Generator` 在内存中运行时生成，**未硬编码在源码中**，**未随仓库分发**
|
||
- 每个进程实例独立生成密钥对，满足"每个部署独立密钥"要求
|
||
- **遗留问题**: 密钥为内存生成，进程重启后丢失，所有已签发 Token 立即失效
|
||
- **修复建议**:
|
||
1. ~~私钥从文件路径加载（启动参数或环境变量），不硬编码~~ ✅ 已不在源码中硬编码
|
||
2. ~~每个部署实例生成独立密钥对~~ ✅ 已满足
|
||
3. 私钥文件权限 0600，仅服务运行用户可读 — 需增加持久化机制
|
||
4. 公钥分发机制：dnfs、aibox 等需要验签的服务可访问公钥 — 待实现
|
||
|
||
---
|
||
|
||
## 🟠 P1 — 高危问题
|
||
|
||
| # | 问题 | 状态 | 说明 |
|
||
|---|------|------|------|
|
||
| P1-1 | Token 吊销机制缺失 | ❌ 未修复 | `handleLogout` (L1160) 仅清除 Cookie，无服务端黑名单/吊销列表；修改密码/注销后旧 Token 仍有效直到过期 |
|
||
| P1-2 | 登录失败次数限制 | ⚠️ 部分修复 | IP 级限流已实现 (`_LOGIN_RATE`, L998, 5次/300秒)，但**无账户级锁定**（同一邮箱多次失败不触发账户锁定） |
|
||
| P1-3 | 上游代理超时配置 | ❌ 未修复 | `handleProxy` (L1712) 中 `HttpClient` 未显式设置超时，依赖 libhttp 默认值 |
|
||
| P1-4 | C++ HTTP 解析器缓冲区溢出审计 | ❌ 未修复 | libhttp 库（`src/shared/`）需全面 fuzz 测试 |
|
||
| P1-5 | 请求体大小限制 | ❌ 未修复 | 未配置显式请求体大小上限（如 10MB），依赖 Boost.Beast 默认行为 |
|
||
|
||
---
|
||
|
||
## 🟡 P2 — 中危问题
|
||
|
||
| # | 问题 | 状态 | 说明 |
|
||
|---|------|------|------|
|
||
| P2-1 | 错误页面泄露版本号/堆栈信息 | ✅ 已修复 | `wrapperHttp` (L919-940) 异常捕获返回统一 `"Internal Server Error"`，详细错误仅输出到 stderr，不向客户端暴露 |
|
||
| P2-2 | HTTPS TLS 版本和密码套件安全 | ❌ 未修复 | `main.cpp` L664-668 TLS 模式下仅指定证书文件，未显式限定 TLS 版本和 CipherSuites |
|
||
|
||
---
|
||
|
||
## ✅ 已有安全机制
|
||
|
||
1. ✅ **PBKDF2 密码哈希**: 慢哈希算法防彩虹表，使用唯一盐值 (`main.cpp` L58-143)
|
||
2. ✅ **RSA Token 签名**: Token 使用 RSA 私钥签名，防伪造 (`main.cpp` L1112-1130)
|
||
3. ✅ **反向代理架构**: 统一入口，隐藏后端服务拓扑
|
||
4. ✅ **速率限制**: 多层防护（IP 级 + 邮箱级双窗口限流、60秒冷却、失败锁定）
|
||
5. ✅ **防用户名枚举**: 用户不存在时执行 dummy PBKDF2 校验拉平响应时序 (`main.cpp` L1078-1083)
|
||
6. ✅ **WAF 前置防护**: Go WAF 处理 SQLi/XSS/CC/协议解析
|
||
7. ✅ **C++ 高性能实现**: 避免 Python GIL 瓶颈，抗并发能力强
|
||
8. ✅ **依赖审计**: 使用项目自带的 libcrypt 加密库（PBKDF2、RSA）
|
||
9. ✅ **路径遍历防护**: `is_safe_target()` 校验请求路径，拒绝 `..`、空字节、URL 编码遍历 (`main.cpp` L1926-1952)
|
||
10. ✅ **X-Forwarded-For 可信注入**: 剥离客户端伪造的 IP 头后由 gateway 主动设置 (`main.cpp` L1853-1863)
|
||
11. ✅ **优雅关闭**: SIGINT/SIGTERM 信号处理 (`main.cpp` L465-479)
|
||
12. ✅ **Token 刷新机制**: 支持宽限期刷新 + 次数上限 + 限流 (`main.cpp` L1302-1453)
|
||
13. ✅ **CAPTCHA 强制校验**: 登录/注册/发送验证码均需 CAPTCHA，对接 captcha 服务 (`main.cpp` L426-442)
|
||
14. ✅ **异步日志**: 批量推送 + fail-safe，db 不可用时静默丢弃 (`LogC.hpp`)
|
||
|
||
---
|
||
|
||
## 修复路线图
|
||
|
||
### 立即（24小时）
|
||
- [ ] 增加请求体大小限制（参考 waf 10MB 配置）
|
||
- [ ] 代理上游 HttpClient 增加显式超时配置
|
||
|
||
### 短期（72小时）
|
||
- [x] 确认 RSA 私钥未硬编码 → ✅ 已确认：运行时内存生成，非硬编码
|
||
- [ ] 实现 Token 吊销列表（密码修改时注销旧 Token）
|
||
- [ ] 增加账户级登录失败锁定
|
||
- [ ] libhttp 解析器 fuzz 测试
|
||
|
||
### 中期
|
||
- [x] 错误页面脱敏 → ✅ 已完成
|
||
- [ ] TLS 安全配置（限定 TLS 版本和 CipherSuites）
|
||
- [ ] 管理操作审计日志
|
||
- [ ] RSA 密钥持久化（避免重启后 Token 全部失效）
|
||
|
||
---
|
||
|
||
## 代码验证记录
|
||
|
||
**验证日期**: 2026-08-03
|
||
**验证方式**: 逐条对照审计报告与当前代码（`main.cpp`、`Conf.hpp`、`DbC.hpp`、`LogC.hpp`、`Msg.hpp`）
|
||
|
||
### 验证结果汇总
|
||
|
||
| 等级 | 总数 | 已修复 | 部分修复 | 未修复 | 修复率 |
|
||
|------|------|--------|----------|--------|--------|
|
||
| P0 | 1 | 0 | 1 | 0 | 50% (部分) |
|
||
| P1 | 5 | 0 | 1 | 4 | 10% (部分) |
|
||
| P2 | 2 | 1 | 0 | 1 | 50% |
|
||
| **合计** | **8** | **1** | **2** | **5** | **25%** |
|
||
|
||
### 逐条验证
|
||
|
||
| 编号 | 状态 | 代码位置 | 验证说明 |
|
||
|------|------|----------|----------|
|
||
| P0-1 | ⚠️ 部分 | `main.cpp` L669 | `MyRSA::Generator()` 运行时生成，非硬编码；但无持久化，重启后 Token 全部失效 |
|
||
| P1-1 | ❌ 未修复 | `main.cpp` L1160-1174 | `handleLogout` 仅清除 Cookie，无 Token 黑名单/吊销机制 |
|
||
| P1-2 | ⚠️ 部分 | `main.cpp` L998 | IP 限流已实现 (5次/300s)，无账户级锁定 |
|
||
| P1-3 | ❌ 未修复 | `main.cpp` L1712-1889 | `handleProxy` 中 `HttpClient` 未显式设置超时 |
|
||
| P1-4 | ❌ 未修复 | `src/shared/` | libhttp 库未进行 fuzz 测试 |
|
||
| P1-5 | ❌ 未修复 | `main.cpp` | 未设置请求体大小上限 |
|
||
| P2-1 | ✅ 已修复 | `main.cpp` L919-940 | 异常统一返回 `"Internal Server Error"`，不泄露类型/堆栈 |
|
||
| P2-2 | ❌ 未修复 | `main.cpp` L664-668 | TLS 模式仅指定证书，未限定版本和密码套件 |
|
||
|
||
### 新增安全机制（审计报告未覆盖）
|
||
|
||
| 机制 | 代码位置 | 说明 |
|
||
|------|----------|------|
|
||
| 路径遍历防护 | `main.cpp` L1926-1952 | `is_safe_target()` 拒绝 `..`、空字节、URL 编码遍历 |
|
||
| XFF 可信注入 | `main.cpp` L1853-1863 | 剥离客户端伪造 IP 头后主动设置可信 XFF |
|
||
| 优雅关闭 | `main.cpp` L465-479 | SIGINT/SIGTERM 信号处理 |
|
||
| 防用户枚举 | `main.cpp` L1078-1083 | 用户不存在时执行 dummy PBKDF2 拉平响应时序 |
|
||
| 密码强度校验 | `main.cpp` L148-181 | 8-128字符，至少3种字符类别 |
|
||
| 邮箱双窗口限流 | `main.cpp` L1652-1660 | 3次/小时 + 10次/天/邮箱 |
|
||
| 异步日志 fail-safe | `LogC.hpp` L210-213 | db 不可用时静默丢弃，绝不影响业务 |
|