Velocity Parse()函数引发的本地包含漏洞及利用方法

Velocity Parse()函数是Apache Velocity模板引擎中非常常用的函数之一，它的作用是将一个字符串解析成一个Velocity模板，在模板中可以使用 $var形式的语法来代替具体变量或表达式。

然而，如果在解析字符串时未对用户输入进行过滤和验证，就会产生本地文件包含（LFI）攻击的漏洞。攻击者可以利用此漏洞读取服务器中的任意文件，甚至可以通过读取敏感文件获取管理员账户和密码等关键信息。

下面是Velocity Parse()函数引发本地包含漏洞的攻击流程：

1.攻击者构造恶意请求，将包含攻击代码的模板路径传递给服务器

http://example.com/index.vm?template=file:///etc/passwd

2.服务器使用Velocity Parse()函数解析请求中的模板路径，发现请求路径以file://协议开头，便会尝试读取服务器本地文件系统的文件并将其包含进模板内

3.攻击者通过模板路径读取到服务器上的敏感文件，攻击成功

为了防止此类攻击，我们需要做到以下两点：

1.应该对用户输入的模板路径进行过滤和验证，只允许包含特定路径或特定后缀的文件，例如只允许包含templates目录下的.vm文件，拒绝包含../等路径

2.在读取文件前应该对路径进行进一步验证，在不确定读取到的是一个合法的模板文件时应该返回错误信息而非直接将文件内容包含进模板

下面是两个示例，分别展示如何在Java中防止Velocity Parse()函数引发本地包含漏洞：

示例1：使用Java的Velocity模板引擎防范本地包含攻击

//获取用户请求的模板路径
String template = request.getParameter("template");
//仅允许读取templates目录下的.vm文件
if (!template.matches("^templates/.*\\.vm$")) {
    throw new Exception("Invalid template path");
}
//实例化Velocity引擎，并解析模板
VelocityEngine engine = new VelocityEngine();
engine.init();
Template tm = engine.getTemplate(template);

示例2：为Velocity模板引擎添加自定义loader实现更严格的路径过滤

class CustomLoader extends ResourceLoader {
    @Override
    public InputStream getResourceStream(String path)
            throws ResourceNotFoundException {
        //仅允许读取templates目录下的.vm文件
        if (!path.matches("^templates/.*\\.vm$")) {
            throw new ResourceNotFoundException("Invalid template path");
        }
        //读取模板文件
        InputStream is = new FileInputStream(path);
        return is;
    }

    //其他方法略
}

//实例化Velocity引擎，添加自定义loader以增加路径过滤
VelocityEngine engine = new VelocityEngine();
engine.setProperty("resource.loader.customloader.class",
        CustomLoader.class.getName());
engine.setProperty("resource.loader.customloader.cache", "true");
engine.init();
//解析请求中的模板
Template tm = engine.getTemplate(request.getParameter("template"));