rt/t/web/path-traversal.t

   1 use strict;
   2 use warnings;
   3
   4 use RT::Test tests => undef;
   5
   6 my ($baseurl, $agent) = RT::Test->started_ok;
   7 ok($agent->login);
   8
   9 $agent->get("$baseurl/NoAuth/../Elements/HeaderJavascript");
  10 is($agent->status, 400);
  11 $agent->warning_like(qr/Invalid request.*aborting/);
  12
  13 $agent->get("$baseurl/NoAuth/../%45lements/HeaderJavascript");
  14 is($agent->status, 400);
  15 $agent->warning_like(qr/Invalid request.*aborting/);
  16
  17 $agent->get("$baseurl/NoAuth/%2E%2E/Elements/HeaderJavascript");
  18 is($agent->status, 400);
  19 $agent->warning_like(qr/Invalid request.*aborting/);
  20
  21 $agent->get("$baseurl/NoAuth/../../../etc/RT_Config.pm");
  22 is($agent->status, 400);
  23 $agent->warning_like(qr/Invalid request.*aborting/) unless $ENV{RT_TEST_WEB_HANDLER} =~ /^apache/;
  24
  25 $agent->get("$baseurl/static/css/web2/images/../../../../../../etc/RT_Config.pm");
  26 # Apache hardcodes a 400m but the static handler returns a 403 for traversal too high
  27 is($agent->status, $ENV{RT_TEST_WEB_HANDLER} =~ /^apache/ ? 400 : 403);
  28
  29 # Do not reject a simple /. in the URL, for downloading uploaded
  30 # dotfiles, for example.
  31 $agent->get("$baseurl/Ticket/Attachment/28/9/.bashrc");
  32 is($agent->status, 200); # Even for a file not found, we return 200
  33 $agent->next_warning_like(qr/could not be loaded/, "couldn't loaded warning");
  34 $agent->content_like(qr/Attachment \S+ could not be loaded/);
  35
  36 # do not reject these URLs, even though they contain /. outside the path
  37 $agent->get("$baseurl/index.html?ignored=%2F%2E");
  38 is($agent->status, 200);
  39
  40 $agent->get("$baseurl/index.html?ignored=/.");
  41 is($agent->status, 200);
  42
  43 $agent->get("$baseurl/index.html#%2F%2E");
  44 is($agent->status, 200);
  45
  46 $agent->get("$baseurl/index.html#/.");
  47 is($agent->status, 200);
  48
  49 undef $agent;
  50 done_testing;