Java代码审计丨某开源系统源码审计

栏目: 数据库 · 发布时间: 6年前

内容简介:java源代码审计相关资料一直比较少,今天抽空给大家写一篇简单的开源代码审计,这是个做公司网站的开源模板,由于项目比较小,本次就针对几个比较严重的漏洞讲解一下发现的过程,其它的一些小漏洞,包括XSS一类的就不写了,希望给大家学习帮助。编译别人的源代码是一项比较痛苦的过程,各种错误都是很蛋疼的,基础原理我就不讲了,大家都知道,还是不喜勿喷。

*本文作者:黑客小平哥,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。

java源代码审计相关资料一直比较少,今天抽空给大家写一篇简单的开源代码审计,这是个做公司网站的开源模板,由于项目比较小,本次就针对几个比较严重的漏洞讲解一下发现的过程,其它的一些小漏洞,包括XSS一类的就不写了,希望给大家学习帮助。

编译别人的源代码是一项比较痛苦的过程,各种错误都是很蛋疼的,基础原理我就不讲了,大家都知道,还是不喜勿喷。

Struts2系列漏洞:

导入项目后,浏览下项目的目录结构,发现一个比较老的Struts2版本,不用说了就是一堆Struts系统漏洞,工具来一波:

Java代码审计丨某开源系统源码审计 Java代码审计丨某开源系统源码审计

上传个webshell,发现乱码,算了这不是重点。

Java代码审计丨某开源系统源码审计 Java代码审计丨某开源系统源码审计

文件上传:

当浏览action文件的时候,发现如下上传代码,其实是对文件进行复制,“uploadFileName”为文件名,格式为:时间戳+_+文件名,重点是没有对文件后缀进行校验。

Java代码审计丨某开源系统源码审计

想要找出上传的位置,继续找出使用该方法的位置,全局搜索一下,发现4处js使用了该方法,我们查看其中“add_ajax_upload.js”,发现的确使用了该方法。

Java代码审计丨某开源系统源码审计 Java代码审计丨某开源系统源码审计

继续查找使用该js的页面,发现“productInfoManage.jsp”使用了该js

Java代码审计丨某开源系统源码审计

那么我们继续进入“productInfoManage.jsp”去看看,发现该页面的添加功能有该上传点:

Java代码审计丨某开源系统源码审计

Java代码审计丨某开源系统源码审计

我们抓包上传个jsp文件,发现上传成功,至此该上传漏洞确认:

Java代码审计丨某开源系统源码审计 Java代码审计丨某开源系统源码审计

SQL注入:

继续浏览action文件时,发现此处一个查询功能,入参为noticeInfo:

Java代码审计丨某开源系统源码审计

进入noticeService.queryNotice查看

Java代码审计丨某开源系统源码审计

继续追溯到dao层,看到 sql 拼接,此处存在SQL注入:

Java代码审计丨某开源系统源码审计

既然存在注入,那么我们查找入参在哪个页面,发现在noticeManage.jsp的查询功能使用了该方法:

Java代码审计丨某开源系统源码审计

进入“noticeManage.jsp”页面查看

Java代码审计丨某开源系统源码审计

对搜索查询功能抓包注入,发现存在SQL注入,到此注入验证存在: Java代码审计丨某开源系统源码审计 Java代码审计丨某开源系统源码审计

结语:

此次审计源代码项目较小,漏洞问题不多,希望借此给小白打开审计大门,若有部分遗漏和错误希望各位大佬指正,项目和文章仅供参考。

*本文作者:黑客小平哥,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。


以上所述就是小编给大家介绍的《Java代码审计丨某开源系统源码审计》,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持!

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

人工智能

人工智能

李开复、王咏刚 / 文化发展出版社 / 2017-5-10 / CNY 55.00

人工智能已经来了,它就在我们身边,几乎无处不在。 人工智能技术正在彻底改变人类的认知,重建人机相互协作的关系。史无前例的自动驾驶正在重构我们头脑中的出行地图和人类生活图景,今天的人工智能技术也正在翻译、写作、绘画等人文和艺术领域进行大胆的尝试。 我们真的知道什么是人工智能吗? 我们真的准备好与人工智能共同发展了吗? 我们该如何在心理上将人和机器摆在正确的位置? 我们该......一起来看看 《人工智能》 这本书的介绍吧!

在线进制转换器
在线进制转换器

各进制数互转换器

Base64 编码/解码
Base64 编码/解码

Base64 编码/解码

XML、JSON 在线转换
XML、JSON 在线转换

在线XML、JSON转换工具