如何修复Veracode扫描出的CWE 78（OS命令注入）漏洞？

你的代码被Veracode标记漏洞，核心原因是直接将用户可控的文件路径作为命令行参数传递给Process.Start，存在被构造注入恶意命令的风险。以下是经过验证的有效修复方案，同时说明之前修复无效的原因。

有效修复方案 #

方案1：严格路径验证+安全进程启动方式 #

通过ProcessStartInfo明确指定可执行文件，禁用Shell解析，同时添加多层路径验证，彻底阻断注入风险：

private void textBox_PreviewMouseDoubleClick(object sender, System.Windows.Input.MouseButtonEventArgs e)
{
    SysprepLogViewInfo log = lstView.SelectedItem as SysprepLogViewInfo;

    if (log != null)
    {
        string logFile = System.IO.Path.Combine(log.Location, log.DisplayName);
        
        // 验证1：必须是绝对路径
        if (!System.IO.Path.IsPathRooted(logFile))
        {
            System.Windows.MessageBox.Show("无效的日志文件路径", "错误");
            return;
        }
        
        // 验证2：限制在允许的系统日志目录内
        string[] allowedDirs = new[]
        {
            @"C:\Windows\Panther",
            @"C:\Windows\Panther\UnattendGC",
            @"C:\Windows\System32\sysprep\Panther"
        };
        
        string normalizedPath = System.IO.Path.GetFullPath(logFile);
        bool isInAllowedDir = allowedDirs.Any(dir => 
            normalizedPath.StartsWith(dir, StringComparison.OrdinalIgnoreCase));
        
        if (!isInAllowedDir)
        {
            System.Windows.MessageBox.Show("日志文件不在允许的目录内", "错误");
            return;
        }
        
        // 验证3：文件真实存在
        if (!System.IO.File.Exists(normalizedPath))
        {
            System.Windows.MessageBox.Show("日志文件不存在", "错误");
            return;
        }
        
        // 安全启动进程：禁用ShellExecute，用引号包裹路径避免空格解析问题
        ProcessStartInfo psi = new ProcessStartInfo
        {
            FileName = "notepad.exe",
            Arguments = $"\"{normalizedPath}\"",
            UseShellExecute = false,
            CreateNoWindow = false
        };
        Process.Start(psi);
    }
}

方案2：规范化白名单验证 #

如果日志文件路径是固定的几个，直接用规范化后的路径匹配白名单，同时保持安全启动方式：

private void textBox_PreviewMouseDoubleClick(object sender, System.Windows.Input.MouseButtonEventArgs e)
{
    SysprepLogViewInfo log = lstView.SelectedItem as SysprepLogViewInfo;

    if (log != null)
    {
        string logFile = System.IO.Path.Combine(log.Location, log.DisplayName);
        string normalizedPath = System.IO.Path.GetFullPath(logFile);
        
        // 白名单使用规范化路径，避免相对路径绕过
        HashSet<string> allowedFiles = new HashSet<string>(StringComparer.OrdinalIgnoreCase)
        {
            @"C:\Windows\Panther\setupact.log",
            @"C:\Windows\Panther\setuperr.log",
            @"C:\Windows\Panther\UnattendGC\setupact.log",
            @"C:\Windows\Panther\UnattendGC\setuperr.log",
            @"C:\Windows\System32\sysprep\Panther\setupact.log",
            @"C:\Windows\System32\sysprep\Panther\setuperr.log"
        };
        
        if (!allowedFiles.Contains(normalizedPath))
        {
            System.Windows.MessageBox.Show("无效的日志文件", "错误");
            return;
        }
        
        if (System.IO.File.Exists(normalizedPath))
        {
            ProcessStartInfo psi = new ProcessStartInfo("notepad.exe", $"\"{normalizedPath}\"")
            {
                UseShellExecute = false
            };
            Process.Start(psi);
        }
        else
        {
            System.Windows.MessageBox.Show("日志文件不存在", "错误");
        }
    }
}

之前修复无效的原因 #

• 第一种修复：正则表达式[a-zA-Z0-9\x20]+$未覆盖路径中的合法字符（如\、:），且直接调用Process.Start(Logfile)会让系统用默认Shell打开文件，反而放大了注入风险。
• 第二种修复：直接比较原始路径，未处理路径规范化（比如C:\Windows\Panther\..\Panther\setupact.log这类路径会绕过白名单），且同样使用了不安全的进程启动方式。

内容的提问来源于stack exchange，提问作者Ming