Mini-challenge: Xây dựng Bộ Semgrep Rules chặn Lỗ hổng 0-Day

TL;DR: Thử thách này đặt bạn vào vị trí của một AppSec Engineer chịu trách nhiệm bảo vệ một hệ sinh thái microservices Java & Go. Nhóm phát triển vừa báo cáo một mẫu code có nguy cơ dính SpEL Injection và SSRF do dùng thư viện nạp tài nguyên sai quy chuẩn. Nhiệm vụ của bạn là viết một bộ quy tắc audit-rules.yml bằng Semgrep, định nghĩa chính xác pattern và taint sources, kiểm thử để bắt đúng 100% các dòng code vi phạm mà không sinh ra bất kỳ false positive nào.

1. Tình huống thử thách

Công ty của bạn đang chuẩn bị phát hành phiên bản mới của một cổng API Core. Trước khi hợp nhất mã nguồn vào nhánh chính, bạn nhận được đoạn mã nguồn của 2 microservices sau:

File 1: NotificationService.java (Spring Boot)

package com.corp.service;

import org.springframework.expression.ExpressionParser;
import org.springframework.expression.spel.standard.SpelExpressionParser;
import org.springframework.expression.spel.support.StandardEvaluationContext;
import org.springframework.web.bind.annotation.*;

@RestController
public class NotificationService {
    private final ExpressionParser parser = new SpelExpressionParser();

    // DANGEROUS: SpEL RCE Vulnerability
    @PostMapping("/send")
    public String notify(@RequestParam("tpl") String tpl, @RequestBody User user) {
        StandardEvaluationContext ctx = new StandardEvaluationContext(user);
        return parser.parseExpression(tpl).getValue(ctx, String.class);
    }

    // SAFE: Static string parsing, no user input
    @GetMapping("/version")
    public String getVersion() {
        return parser.parseExpression("'v1.0.0'").getValue(String.class);
    }
}

File 2: WebhookDispatcher.java (Spring Boot)

package com.corp.service;

import java.net.URI;
import java.net.http.HttpClient;
import java.net.http.HttpRequest;
import org.springframework.web.bind.annotation.*;

@RestController
public class WebhookDispatcher {
    private final HttpClient client = HttpClient.newHttpClient();

    // DANGEROUS: SSRF Vulnerability
    @PostMapping("/dispatch")
    public void dispatchWebhook(@RequestParam("targetUrl") String targetUrl) {
        HttpRequest req = HttpRequest.newBuilder().uri(URI.create(targetUrl)).build();
        client.sendAsync(req, null);
    }

    // SAFE: Hardcoded domain
    @PostMapping("/ping-home")
    public void pingHome() {
        HttpRequest req = HttpRequest.newBuilder().uri(URI.create("https://internal.corp/ping")).build();
        client.sendAsync(req, null);
    }
}

2. Nhiệm vụ của bạn

Hãy vận dụng kiến thức về Metavariables, Taint Analysis và cú pháp Semgrep để viết file audit-rules.yml hoàn chỉnh thực hiện hai nhiệm vụ:

1. Nhiệm vụ 1 (Chặn SpEL RCE): Bắt chính xác lời gọi parser.parseExpression(tpl) nhận đối số là một biến tham số từ @RequestParam, nhưng bỏ qua lời gọi an toàn parser.parseExpression("'v1.0.0'").
2. Nhiệm vụ 2 (Chặn SSRF): Bắt chính xác lời gọi URI.create(targetUrl) nhận đối số là biến từ controller, nhưng bỏ qua các chuỗi URL tĩnh cố định "https://internal.corp/ping".

Dưới đây là câu hỏi dự đoán trước khi bạn xem lời giải mẫu:

3. Lời giải mẫu & Đối chiếu thực nghiệm

Tự mình hoàn thành thử thách trước khi đối chiếu với lời giải chi tiết dưới đây:

4. AI Copilot Slot: Thử thách code review an toàn cùng AI

Khi lập trình viên nhờ AI viết rule SAST, các mô hình ngôn ngữ thường có xu hướng viết rule quá đơn giản dẫn tới cảnh báo tràn lan. Hãy thử nghiệm năng lực sinh rule của AI.

[!TIP] Prompt thử nghiệm (Copy & Test trên AI của bạn): "Hãy viết cho tôi một rule Semgrep YAML bằng ngôn ngữ Java để phát hiện lỗ hổng SpEL Injection khi gọi hàm parser.parseExpression(). Chú ý: tôi không muốn rule báo lỗi nếu đối số là một chuỗi hằng số tĩnh."

Đối chiếu thực tế: Quan sát xem AI có nhớ thêm khối pattern-not: $PARSER.parseExpression("...") để lọc chuỗi tĩnh hay không. Một chuyên gia bảo mật luôn kiểm tra xem rule có sinh ra false positive trên mã nguồn sạch hay không trước khi đưa vào CI/CD.

5. Liên hệ các bài khác

• Hệ thống hóa toàn bộ kiến thức: Chuyển sang Bài 06 — Tổng kết module Taint Analysis & Static Code Auditing để hoàn thành bài tự đánh giá năng lực.
• Bước sang bài toán bất đồng bộ: Ở module kế tiếp, bạn sẽ giải mã lỗ hổng chạy đua luồng tại Bản chất Concurrency trong Web.
• Hồi tưởng nguyên lý Taint Flow: Xem lại mô hình Source $\to$ Sink tại Bài 01 — Nguyên lý Taint Analysis.

Bài tiếp theo: Tổng kết module Taint Analysis & Static Code Auditing