Сервер аналитики Worklight

Question

Как мы можем установить ограничения размера файла от клиента, а также гарантировать, что частота клиента, загружающего файл журнала, регулируется так, что он не может отказывать в обслуживании сервером на аналитическом сервере WL?

Мы сделали проверку безопасности для нашего приложения и получили следующий результат:

Внедрение журнала происходит, когда злоумышленник может внедрить злонамеренный код как часть записи журнала с целью его выполнения при наблюдении в средстве просмотра журнала. Все данные, отправляемые в файлы журналов приложений, необходимо сохранять для отображения всех событий, произошедших в системе. Эти файлы журнала могут затем просматриваться конечными пользователями с помощью нескольких средств от терминала до полнофункционального веб-приложения. Если потенциально вредоносные символы или управляющие символы не очищены до отображения в одном из этих средств просмотра, они могут повлиять на конечного пользователя, просматривающего журналы.

Экземпляр (ы):

1. " https://company.com/Applicaion-Name/apps/services/loguploader"

Действия по воспроизведению:

• Прокси приложение через http прокси, как отрыжка.
• Войдите в приложение
• Приложение отправит запрос в /loguploader.

Обратите внимание, что заархивированное содержимое находится в файле /var/mobile/Applications//Documents/wl.analytics.log

ПРИМЕЧАНИЕ. Чтобы проверить, действительно ли приложение действительно уязвимо к этому, wl.analytics.log Файл должен быть изменен, увеличен в размере и локально и проверен на сервере после вызова службы loguploader, чтобы увидеть, был ли измененный файл принят.

мы прошли через следующий URL:

http://www-01.ibm.com/support/knowledgecenter/SSZH4A_6.2.0/com.ibm.worklight.monitor.doc/monitor/c_op_analytics_performance_tuning.html%23c_op_analytics_performance_tuning__throughput-tuning

Ниже приведена пара информации по ссылке выше.

wl.analytics.queues Параметр определяет максимальное количество очередей, которые сервер Worklight хранит в памяти. Если все очереди заполняются до публикации на платформе Analytics, сервер Worklight отбрасывает данные, полученные от клиента, до тех пор, пока очередь не опустошится.

wl.analytics.queue.size Параметр - это количество отдельных элементов, которые может содержать каждая очередь. На настройку этих параметров влияет

Количество отдельных аналитических событий, которые сервер хранит за один раз, составляет wl.analytics.queues * wl.analytics.queue.size, Учитывайте этот факт при определении этих двух параметров. Если вы установите их слишком низкими, большие объемы аналитических данных могут быть отброшены, если сервер необычно занят. Если вы установите их слишком высоко, слишком много памяти может быть использовано на сервере Worklight

Из вышеприведенных подробностей кажется, что если мы правильно установим значения, загрузка файла с высокими значениями будет прекращена из-за переполнения.

Но я не уверен, какие правильные значения необходимо установить для решения проблемы безопасности. И это решит это?

WL Server версия 6.2.0.1

Liberty версия 8.5.5.1

Answer 1

Как мы можем установить ограничения размера файла от клиента, а также гарантировать, что частота клиента, загружающего файл журнала, регулируется так, что он не может отказывать в обслуживании сервером на аналитическом сервере WL?

Я ответил на ПМР, который вы открыли, но вы не ответили.
Копия моего ответа:

Использование логгера описано в следующем разделе документации пользователя: http://www-01.ibm.com/support/knowledgecenter/SSZH4A_6.2.0/com.ibm.workl ight.dev.doc / devref / c_client-side_log_capture.html

Дополнительная документация по API и примеры доступны в этом другом разделе пользовательской документации: http://www-01.ibm.com/support/knowledgecenter/SSZH4A_6.2.0/com.ibm.workl ight.apiref.doc / html / refjavascript-client. /html/WL.Logger.html?cp=SSZH4A_ 6.2.0%2F10-0-0-1-19

1. Чтобы отключить автоматическую отправку журналов, необходимо установить для параметра "setAutoSendLogs" значение false; Затем вы должны будете использовать WL.Logger.send API для отправки логов.

2. Чтобы ограничить размер файлов отправляемых журналов, обновите значение, заданное как "maxFileSize" (по умолчанию 100 КБ), чтобы данные, отправляемые на сервер, также были меньше по размеру.

Просмотрите документацию, чтобы поэкспериментировать с доступными параметрами, которые будут соответствовать вашим потребностям.