重新文件Gem:当remote_image_url无效或不存在时忽略异常
我们使用重编允许用户将图像上传到我们的S3后端。此外，我们允许用户在互联网上(通过remote_image_url属性)输入任何图像的网址。
只要输入的URL指向实际文件，就可以正常工作。但是，如果URL中有错误，或者提供了一些无意义的输入，Refile将抛出以下异常：
Errno::ENOENT (No such file or directory @ rb_sysopen - thiswillnotwork):
app/controllers/my/deals_controller.rb:17:in `create'
appsignal (0.11.2) lib/appsignal/rack/listener.rb:13:in `call'是否有一个选项可以忽略URL输入无效的情况(类似于validate_download选项在CarrierWave中的工作方式)，并在理想情况下使用我们的后退图像？
我们尝试过将raise_errors选项设置为false，但是结果是相同的。
我们的项目使用Rails 4.2.0和Refile 0.5.3。
编辑：
我已经确认此异常是来自Kernel.open的较低级别的Kernel.open，并且该异常类型不会被重新文件拯救：
rescue OpenURI::HTTPError, RuntimeError => error
raise if error.is_a?(RuntimeError) and error.message !~ /redirection loop/
@errors = [:download_failed]
raise if @raise_errors
end我正在处理一个请求重新提交来修复这个问题。
编辑2:
在进行此操作时，我们在Refile中发现了一个Refile，使潜在的攻击者能够使用远程代码执行。
重新文件创业板有一个特性，其中将提供一个URL和远程文件将被上传。这可以通过在表单中添加像
remote_image_url这样的字段来实现，其中image是附件的名称。该特性使用open来发出HTTP请求，而不验证传递的URI。攻击者可以创建一个URI，该URI在主机上执行任意shell命令。
如果您使用的是Refile版本的0.5.0 - 0.5.3，请升级到最新版本.升级也将解决上述问题。
回答 1
Stack Overflow用户
发布于 2015-04-07 06:58:15
在与Refile的维护者交谈之后，将在下一次迭代中修复这个问题。现在，我们已经创建了以下简单的Ruby类。
# app/services/remote_url.rb
class RemoteUrl
def initialize(url)
@url = url
end
def valid?
URI.parse(@url).kind_of?(URI::HTTP)
rescue URI::InvalidURIError
false
end
end我用在我的控制器上，就像这样：
# app/controllers/model_controller.rb
def model_params
sanitize_remote_url!
params.require(:model).permit(:description, ..., :image, :remote_image_url)
end
def sanitize_remote_url!
params[:model].delete(:remote_image_url) unless RemoteUrl.new(params[:model][:remote_image_url]).valid?
end这是一种非常原始的方法，但考虑到它将在下一个Gem版本中得到修补，我认为这已经足够好了。
免责声明：
虽然这弥补了原始问题的编辑2中提到的一些漏洞，但如果攻击者能够在文件系统上创建名为http:的文件夹，攻击者仍然能够执行远程代码执行，因为像http:/../etc/passwd这样的字符串将通过http:/../etc/passwd验证，但仍然可以通过Kernel.open读取本地文件。
Gem现在已经被修补(0.5.4)，升级是正确的解决方案。
https://stackoverflow.com/questions/29327273
复制相似问题
腾讯云开发者
