Test case 48846

Deprecated test case
This version contains mistakes, making it deprecated. Deprecated test cases should not be used for new work. However, They remain in the SARD as a reference to redo previous work.
Type: source code
State: mixed
Status: deprecated
Language: Java
Submission Date: 08 Apr 2011
Description

CWE: 113 HTTP Response Splitting
BadSource: getQueryStringServlet Parse id param out of the querystring without getParam
GoodSource: A hardcoded string
Sinks: setHeaderServlet
GoodSink: URLEncode input
BadSink : querystring to setHeader()
Flow Variant: 17 Control flow: for loops
Flaws

CWE-113 Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Response Splitting')
Test Suites

Documentation

Juliet v1.0 for Java cases.pdf
Trace

- CWE113_HTTP_Response_Splitting__getQueryStringServlet_setHeaderServlet_17.javaline 72
  - CWE-113 Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Response Splitting')
- CWE113_HTTP_Response_Splitting__getQueryStringServlet_setHeaderServlet_17.javaline 131
  - CWE-113 Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Response Splitting')
Files

src
main
java
testcases
CWE113_HTTP_Response_Splitting
CWE113_HTTP_Response_Splitting__getQueryStringServlet_setHeaderServlet_17.java
testcasesupport
AbstractTestCaseServlet.java
IO.java
manifest.sarif

xxxxxxxxxx
369
 
1
/* TEMPLATE GENERATED TESTCASE FILE
2
Filename: CWE113_HTTP_Response_Splitting__getQueryStringServlet_setHeaderServlet_17.java
3
Label Definition File: CWE113_HTTP_Response_Splitting.label.xml
4
Template File: sources-sinks-17.tmpl.java
5
*/
6
/*
7
* @description
8
* CWE: 113 HTTP Response Splitting
9
* BadSource: getQueryStringServlet Parse id param out of the querystring without getParam
10
* GoodSource: A hardcoded string
11
* Sinks: setHeaderServlet
12
*    GoodSink: URLEncode input
13
*    BadSink : querystring to setHeader()
14
* Flow Variant: 17 Control flow: for loops
15
*
16
* */
17
18
package testcases.CWE113_HTTP_Response_Splitting;
19
20
import testcasesupport.*;
21
22
import javax.servlet.http.*;
23
24
import javax.servlet.http.*;
25
import java.util.StringTokenizer;
26
import java.sql.*;
27
import java.io.IOException;
28
29
import java.util.logging.Logger;
30
31
import java.net.URLEncoder;
32
33
public class CWE113_HTTP_Response_Splitting__getQueryStringServlet_setHeaderServlet_17 extends AbstractTestCaseServlet
34
{
35
36
    public void bad(HttpServletRequest request, HttpServletResponse response) throws Throwable
37
    {
38
        String data;
39
40
        /* We need to have one source outside of a for loop in order
41
           to prevent the Java compiler from generating an error because
42
           data is uninitialized */
43
44
        Logger log_bad = Logger.getLogger("local-logger");
45
        data = "";
46
47
        /* parse the query string for value of 'id' */
48
        String id_str = null;
49
        StringTokenizer st = new StringTokenizer(request.getQueryString(), "&");
50
        while (st.hasMoreTokens())
51
        {
52
            String token = st.nextToken();
53
            int i = token.indexOf("=");
54
            if ((i > 0) && (i < (token.length() - 1)) && (token.substring(0, i).equals("id")))
55
            {
56
                id_str = token.substring(i + 1);
57
                break;
58
            }
59
        }
60
61
        if (id_str != null)
62
        {
63
            Connection conn = null;
64
            PreparedStatement statement = null;
65
            ResultSet rs = null;
66
            try
67
            {
68
                int id = Integer.parseInt(id_str);
69
                conn = IO.getDBConnection();
70
                statement = conn.prepareStatement("select * from pages where id=?");
71
                /* FLAW: no check to see whether the user has privileges to view the data */
72
                statement.setInt(1, id);
73
                rs = statement.executeQuery();
74
                data = rs.toString();
75
            }
76
            catch( SQLException se )
77
            {
78
                log_bad.warning("Error");
79
            }
80
            finally
81
            {
82
                /* clean up database objects */
83
                try {
84
                    if( rs != null )
85
                    {
86
                        rs.close();
87
                    }
88
                }
89
                catch( SQLException se )
90
                {
91
                    log_bad.warning("Error closing rs");
92
                }
93
                finally {
94
                    try {
95
                        if( statement != null )
96
                        {
97
                            statement.close();
98
                        }
99
                    }
100
                    catch( SQLException se )
101
                    {
102
                        log_bad.warning("Error closing statement");
103
                    }
104
                    finally {
105
                        try {
106
                            if( conn != null )
107
                            {
108
                                conn.close();
109
                            }
110
                        }
111
                        catch( SQLException se)
112
                        {
113
                            log_bad.warning("Error closing conn");
114
                        }
115
                    }
116
                }
117
            }
118
        }
119
120
        for(int for_index_i = 0; for_index_i < 0; for_index_i++)
121
        {
122
            /* INCIDENTAL: CWE 561 Dead Code, the code below will never run */
123
            java.util.logging.Logger log_good = java.util.logging.Logger.getLogger("local-logger");
124
            /* FIX: Use a hardcoded string */
125
            data = "foo";
126
        }
127
128
        for(int for_index_j = 0; for_index_j < 1; for_index_j++)
129
        {
130
            /* POTENTIAL FLAW: Input not verified before inclusion in header */
131
            response.setHeader("Location", "/author.jsp?lang=" + data);
132
        }
133
134
        for(int for_index_k = 0; for_index_k < 0; for_index_k++)
135
        {
136
            /* INCIDENTAL: CWE 561 Dead Code, the code below will never run */
137
            /* FIX: use URLEncoder.encode to hex-encode non-alphanumerics */
138
            data = URLEncoder.encode(data, "UTF-16");
139
            response.setHeader("Location", "/author.jsp?lang=" + data);
140
        }
141
    }
142
143
    /* goodG2B() - use goodsource and badsink by reversing the block outside the
144
       for statements with the one in the first for statement */
145
    private void goodG2B(HttpServletRequest request, HttpServletResponse response) throws Throwable
146
    {
147
        String data;
148
149
        java.util.logging.Logger log_good = java.util.logging.Logger.getLogger("local-logger");
150
151
        /* FIX: Use a hardcoded string */
152
        data = "foo";
153
154
        for(int for_index_i = 0; for_index_i < 0; for_index_i++)
155
        {
156
            /* INCIDENTAL: CWE 561 Dead Code, the code below will never run */
157
            Logger log_bad = Logger.getLogger("local-logger");
158
            data = "";
159
            /* parse the query string for value of 'id' */
160
            String id_str = null;
161
            StringTokenizer st = new StringTokenizer(request.getQueryString(), "&");
162
            while (st.hasMoreTokens())
163
            {
164
                String token = st.nextToken();
165
                int i = token.indexOf("=");
166
                if ((i > 0) && (i < (token.length() - 1)) && (token.substring(0, i).equals("id")))
167
                {
168
                    id_str = token.substring(i + 1);
169
                    break;
170
                }
171
            }
172
            if (id_str != null)
173
            {
174
                Connection conn = null;
175
                PreparedStatement statement = null;
176
                ResultSet rs = null;
177
                try
178
                {
179
                    int id = Integer.parseInt(id_str);
180
                    conn = IO.getDBConnection();
181
                    statement = conn.prepareStatement("select * from pages where id=?");
182
                    /* FLAW: no check to see whether the user has privileges to view the data */
183
                    statement.setInt(1, id);
184
                    rs = statement.executeQuery();
185
                    data = rs.toString();
186
                }
187
                catch( SQLException se )
188
                {
189
                    log_bad.warning("Error");
190
                }
191
                finally
192
                {
193
                    /* clean up database objects */
194
                    try {
195
                        if( rs != null )
196
                        {
197
                            rs.close();
198
                        }
199
                    }
200
                    catch( SQLException se )
201
                    {
202
                        log_bad.warning("Error closing rs");
203
                    }
204
                    finally {
205
                        try {
206
                            if( statement != null )
207
                            {
208
                                statement.close();
209
                            }
210
                        }
211
                        catch( SQLException se )
212
                        {
213
                            log_bad.warning("Error closing statement");
214
                        }
215
                        finally {
216
                            try {
217
                                if( conn != null )
218
                                {
219
                                    conn.close();
220
                                }
221
                            }
222
                            catch( SQLException se)
223
                            {
224
                                log_bad.warning("Error closing conn");
225
                            }
226
                        }
227
                    }
228
                }
229
            }
230
        }
231
232
        for(int for_index_j = 0; for_index_j < 1; for_index_j++)
233
        {
234
            /* POTENTIAL FLAW: Input not verified before inclusion in header */
235
            response.setHeader("Location", "/author.jsp?lang=" + data);
236
        }
237
238
        for(int for_index_k = 0; for_index_k < 0; for_index_k++)
239
        {
240
            /* INCIDENTAL: CWE 561 Dead Code, the code below will never run */
241
            /* FIX: use URLEncoder.encode to hex-encode non-alphanumerics */
242
            data = URLEncoder.encode(data, "UTF-16");
243
            response.setHeader("Location", "/author.jsp?lang=" + data);
244
        }
245
246
    }
247
248
    /* goodB2G() - use badsource and goodsink by changing the conditions on
249
       the second and third for statements */
250
    private void goodB2G(HttpServletRequest request, HttpServletResponse response) throws Throwable
251
    {
252
        String data;
253
254
        Logger log_bad = Logger.getLogger("local-logger");
255
        data = "";
256
257
        /* parse the query string for value of 'id' */
258
        String id_str = null;
259
        StringTokenizer st = new StringTokenizer(request.getQueryString(), "&");
260
        while (st.hasMoreTokens())
261
        {
262
            String token = st.nextToken();
263
            int i = token.indexOf("=");
264
            if ((i > 0) && (i < (token.length() - 1)) && (token.substring(0, i).equals("id")))
265
            {
266
                id_str = token.substring(i + 1);
267
                break;
268
            }
269
        }
270
271
        if (id_str != null)
272
        {
273
            Connection conn = null;
274
            PreparedStatement statement = null;
275
            ResultSet rs = null;
276
            try
277
            {
278
                int id = Integer.parseInt(id_str);
279
                conn = IO.getDBConnection();
280
                statement = conn.prepareStatement("select * from pages where id=?");
281
                /* FLAW: no check to see whether the user has privileges to view the data */
282
                statement.setInt(1, id);
283
                rs = statement.executeQuery();
284
                data = rs.toString();
285
            }
286
            catch( SQLException se )
287
            {
288
                log_bad.warning("Error");
289
            }
290
            finally
291
            {
292
                /* clean up database objects */
293
                try {
294
                    if( rs != null )
295
                    {
296
                        rs.close();
297
                    }
298
                }
299
                catch( SQLException se )
300
                {
301
                    log_bad.warning("Error closing rs");
302
                }
303
                finally {
304
                    try {
305
                        if( statement != null )
306
                        {
307
                            statement.close();
308
                        }
309
                    }
310
                    catch( SQLException se )
311
                    {
312
                        log_bad.warning("Error closing statement");
313
                    }
314
                    finally {
315
                        try {
316
                            if( conn != null )
317
                            {
318
                                conn.close();
319
                            }
320
                        }
321
                        catch( SQLException se)
322
                        {
323
                            log_bad.warning("Error closing conn");
324
                        }
325
                    }
326
                }
327
            }
328
        }
329
330
        for(int for_index_i = 0; for_index_i < 0; for_index_i++)
331
        {
332
            /* INCIDENTAL: CWE 561 Dead Code, the code below will never run */
333
            java.util.logging.Logger log_good = java.util.logging.Logger.getLogger("local-logger");
334
            /* FIX: Use a hardcoded string */
335
            data = "foo";
336
        }
337
338
        for(int for_index_j = 0; for_index_j < 0; for_index_j++)
339
        {
340
            /* INCIDENTAL: CWE 561 Dead Code, the code below will never run */
341
            /* POTENTIAL FLAW: Input not verified before inclusion in header */
342
            response.setHeader("Location", "/author.jsp?lang=" + data);
343
        }
344
345
        for(int for_index_k = 0; for_index_k < 1; for_index_k++)
346
        {
347
            /* FIX: use URLEncoder.encode to hex-encode non-alphanumerics */
348
            data = URLEncoder.encode(data, "UTF-16");
349
            response.setHeader("Location", "/author.jsp?lang=" + data);
350
        }
351
    }
352
353
    public void good(HttpServletRequest request, HttpServletResponse response) throws Throwable
354
    {
355
        goodG2B(request, response);
356
        goodB2G(request, response);
357
    }
358
359
    /* Below is the main(). It is only used when building this testcase on
360
       its own for testing or for building a binary to use in testing binary
361
       analysis tools. It is not used when compiling all the testcases as one
362
       application, which is how source code analysis tools are tested. */
363
    public static void main(String[] args) throws ClassNotFoundException,
364
           InstantiationException, IllegalAccessException
365
    {
366
        mainFromParent(args);
367
    }
368
}
369
Have any comments on this test case? Please, send us an email.