Sicherheit von Go-Anwendungen: Top-10 Schwachstellen und wie man sie vermeidet

Sicherheit von Go-Anwendungen: Top-10 Schwachstellen und Schutzmethoden

Die Sprache Go (Golang) hat aufgrund ihrer hohen Leistung, Einfachheit und integrierten Sicherheitsmechanismen an Popularität gewonnen. Allerdings schützt sie, wie jede andere Sprache auch, den Entwickler nicht vor allen möglichen Bedrohungen. Designfehler, Unachtsamkeit bei der Arbeit mit externen Daten und die falsche Verwendung von Standardbibliotheken können zu schwerwiegenden Schwachstellen führen. In diesem Artikel analysieren wir die Top-10 der kritischsten Schwachstellen von Go-Anwendungen, zeigen Codebeispiele und erklären, wie man sie vermeidet.

1. SQL-Injection

Trotz des Vorhandenseins des Pakets database/sql neigen Entwickler oft dazu, Strings bei der Erstellung von SQL-Abfragen zu verketten. Dies ist eine klassische Schwachstelle, die es einem Angreifer ermöglicht, beliebigen SQL-Code auszuführen.

Unsicherer Code:

// GEFÄHRLICH: String-Konkatenationfunc getUser(w http.ResponseWriter, r *http.Request) {    username := r.URL.Query().Get("username")    query := "SELECT * FROM users WHERE username = '" + username + "'"    rows, err := db.Query(query)    // ...}

Sicherer Code mit Parametrisierung:

func getUser(w http.ResponseWriter, r *http.Request) {    username := r.URL.Query().Get("username")    // Verwende Platzhalter    query := "SELECT * FROM users WHERE username = $1"    rows, err := db.Query(query, username)    // ...}

Empfehlung: Verwenden Sie immer parametrisierte Abfragen. Verketten Sie niemals Benutzereingaben in SQL-Strings.

2. Cross-Site Scripting (XSS)

Wenn Ihre Go-Anwendung HTML serverseitig rendert (z.B. mit html/template), müssen Sie die Ausgabe escapen. Das integrierte Paket text/template tut dies nicht.

Unsicherer Code:

// Verwendung von text/template ist gefährlichtmpl, _ := template.New("test").Parse("<h1>{{.Name}}</h1>")tmpl.Execute(w, map[string]string{"Name": "<script>alert('XSS')</script>"})

Sicherer Code:

// Verwenden Sie immer html/template für HTML-Vorlagenimport "html/template"tmpl, _ := template.New("test").Parse("<h1>{{.Name}}</h1>")tmpl.Execute(w, map[string]string{"Name": "<script>alert('XSS')</script>"})// Ausgabe: &lt;script&gt;alert('XSS')&lt;/script&gt;

Empfehlung: Verwenden Sie für die Arbeit mit HTML ausschließlich html/template. Validieren und escapen Sie stets Benutzereingaben, insbesondere wenn diese in Tag-Attributen oder JavaScript ausgegeben werden.

3. Race Condition

Go ist eine Sprache mit Nebenläufigkeit, und Race Conditions gehören zu den häufigsten Problemen. Sie können zu Datenbeschädigung, Speicherlecks und unerwarteten Abstürzen führen.

Unsicherer Code:

var counter int

func increment() {    for i := 0; i < 1000; i++ {        counter++ // Nicht-atomare Operation    }}

func main() {    go increment()    go increment()}

Sicherer Code mit Mutex:

var (    counter int    mu      sync.Mutex)

func increment() {    for i := 0; i < 1000; i++ {        mu.Lock()        counter++        mu.Unlock()    }}

func main() {    go increment()    go increment()}

Empfehlung: Verwenden Sie sync.Mutex, sync.RWMutex oder atomare Operationen (sync/atomic). Führen Sie Tests mit dem Flag -race aus, um Race Conditions zu erkennen.

4. Path Traversal

Diese Schwachstelle tritt auf, wenn eine Anwendung Benutzereingaben zur Bildung eines Dateipfads ohne ausreichende Prüfung verwendet.

Unsicherer Code:

func serveFile(w http.ResponseWriter, r *http.Request) {    f