当前位置：首页 > news >正文

应用安全系列之四十五：日志伪造（Log_Forging）之二

news 2025/7/10 4:30:13

日志伪造(Log Forging)是一种常见的安全威胁，攻击者通过注入恶意内容破坏日志完整性。不同编程语言的防御方式有所不同，本文主要介绍Java、C#、Node.js、Rails(Ruby)和Go语言中的防护方法。

1、Java

在另外一篇博客里已经描述的比较详细，可以参考：应用安全系列之四十五：日志伪造（Log_Forging）之一-CSDN博客。

2、C# (.NET Core / Serilog / NLog)

2.1、攻击示例

string userInput = "admin\n[ERROR] 数据库连接失败";

_logger.LogInformation("登录用户: " + userInput); // 危险！

2.2、防御方法

2.2.1、使用结构化日志（自动转义）

_logger.LogInformation("登录用户: {User}", userInput); // Serilog/NLog 安全写法

2.2.2、NLog 配置过滤

<!-- NLog 配置：替换换行符 -->

<target name="logfile" xsi:type="File">

    <layout xsi:type="Layout" replaceNewlines="true">${message}</layout>

</target>

2.2.3、手动编码（System.Text.Encodings.Web）

using System.Text.Encodings.Web;

var safeInput = JavaScriptEncoder.Default.Encode(userInput);

_logger.LogInformation($"登录用户: {safeInput}");

3、Node.js (Winston/Bunyan/Pino)

3.1、攻击示例

const userInput = "admin\n[ERROR] 服务异常！";

console.log(`用户登录: ${userInput}`); // 危险！

3.2、防御方法

3.2.1、使用JSON结构化日志（自动转义）

// Winston/Bunyan/Pino 推荐方式

logger.info({ user: userInput }, "用户登录");



// 或者替换换行符

const safeInput = userInput.replace(/[\r\n]/g, "_");

logger.info(`用户登录: ${safeInput}`);

3.2.2、Pino 默认安全

const pino = require('pino')();

pino.info({ user: userInput }, "用户登录");

// 输出：{"level":30,"msg":"用户登录","user":"admin\\n[ERROR] 服务异常！"}

4、Ruby on Rails (Logger)

4.1、攻击示例

user_input = "admin\n[ERROR] 支付失败！"

Rails.logger.info "用户操作: #{user_input}" # 危险！

4.2、防御方法

4.2.1、使用JSON.generate转义

safe_input = user_input.gsub(/[\r\n]/, '_')

Rails.logger.info "用户操作: #{safe_input}"

4.2.2、使用ActiveSupport::SafeBuffer

safe_input = ActiveSupport::SafeBuffer.new(user_input)

Rails.logger.info "用户操作: #{safe_input}" # 自动HTML转义

4.2.3、Lograge (结构化日志)

# config/environments/production.rb

config.lograge.enabled = true

config.lograge.formatter = Lograge::Formatters::Json.new

# 输出示例: {"user":"admin\\n[ERROR] 支付失败！"}

5、Go(log/slog/zap)

5.1、攻击示例

userInput := "admin\n[ERROR] 内存泄漏！"
log.Printf("用户操作: %s", userInput) // 危险！

5.2、防御方法

5.2.1、使用log/slog结构化日志（Go 1.21+）

logger := slog.New(slog.NewJSONHandler(os.Stdout, nil))

logger.Info("用户操作", "user", userInput) // 自动转义

5.2.2、zap（Uber日志库）

import "go.uber.org/zap"

logger, _ := zap.NewProduction()

logger.Info("用户操作", zap.String("user", userInput)) // 安全

5.2.3、手动替换换行符

safeInput := strings.ReplaceAll(userInput, "\n", "_")

log.Printf("用户操作: %s", safeInput)

6、日志伪造通用防御策略（使用所有语言）

方法	说明
参数化/结构化日志	使用{}占位符或键值对日志，避免直接拼接字符串
过滤换行符	替换\r、\n为空格或下划线
限制日志长度	截断超长日志，防止DoS攻击
避免记录原始输入	对敏感数据（如HTTP Headers）进行脱敏
日志审计	控异常日志模式（如大量换行符、异常错误日志）

7、总结

语言	预防方法
Java/C#	使用参数化日志 + 日志框架配置过滤
Node.js	优先选择Pino/Winston结构化日志
Ruby	用gsub替换换行符或使用Lograge
Go	推荐slog或zap，避免直接拼接