Java代码审计丨某开源系统源码审计

*本文作者:黑客小平哥,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。

java源代码审计相关资料一直比较少,今天抽空给大家写一篇简单的开源代码审计,这是个做公司网站的开源模板,由于项目比较小,本次就针对几个比较严重的漏洞讲解一下发现的过程,其它的一些小漏洞,包括XSS一类的就不写了,希望给大家学习帮助。

编译别人的源代码是一项比较痛苦的过程,各种错误都是很蛋疼的,基础原理我就不讲了,大家都知道,还是不喜勿喷。

Struts2系列漏洞:

导入项目后,浏览下项目的目录结构,发现一个比较老的Struts2版本,不用说了就是一堆Struts系统漏洞,工具来一波:

上传个webshell,发现乱码,算了这不是重点。

文件上传:

当浏览action文件的时候,发现如下上传代码,其实是对文件进行复制,“uploadFileName”为文件名,格式为:时间戳+_+文件名,重点是没有对文件后缀进行校验。

想要找出上传的位置,继续找出使用该方法的位置,全局搜索一下,发现4处js使用了该方法,我们查看其中“add_ajax_upload.js”,发现的确使用了该方法。

继续查找使用该js的页面,发现“productInfoManage.jsp”使用了该js

那么我们继续进入“productInfoManage.jsp”去看看,发现该页面的添加功能有该上传点:

我们抓包上传个jsp文件,发现上传成功,至此该上传漏洞确认:

SQL注入:

继续浏览action文件时,发现此处一个查询功能,入参为noticeInfo:

进入noticeService.queryNotice查看

继续追溯到dao层,看到sql拼接,此处存在SQL注入:

既然存在注入,那么我们查找入参在哪个页面,发现在noticeManage.jsp的查询功能使用了该方法:

进入“noticeManage.jsp”页面查看

对搜索查询功能抓包注入,发现存在SQL注入,到此注入验证存在:

结语:

此次审计源代码项目较小,漏洞问题不多,希望借此给小白打开审计大门,若有部分遗漏和错误希望各位大佬指正,项目和文章仅供参考。

*本文作者:黑客小平哥,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2018-07-27

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

自己动手打造Github代码泄露监控工具

众说周知,Github这块肥肉很受安全人员和黑客关注。因为很多新进程序猿和老手不经意就会把他们的劳动成果分享出来,而往往这种开源精神,奉献精神会对企业带来一定的...

1562
来自专栏阮一峰的网络日志

理解inode

inode是一个重要概念,是理解Unix/Linux文件系统和硬盘储存的基础。 我觉得,理解inode,不仅有助于提高系统操作水平,还有助于体会Unix设计哲学...

3537
来自专栏张戈的专栏

Linux系统内存监控、性能诊断工具vmstat命令详解

最近,烦心事有点多,博客也像是进入了便秘期。虽然还远远不到说放弃的地步,但总有一种挤不出牙膏的郁闷感。很怀念前几个月的冲劲和激情,一天都能存好几篇优质草稿。 看...

3345
来自专栏Java技术

缓存雪崩、缓存穿透、缓存预热、缓存更新、缓存降级等问题!

前面一节说到了《为什么说Redis是单线程的?》,今天给大家整理一篇关于Redis经常被问到的问题:缓存雪崩、缓存穿透、缓存预热、缓存更新、缓存降级等概念的入门...

2501
来自专栏晨星先生的自留地

SSRF漏洞详解

3724
来自专栏Java面试通关手册

可能是全网把 ZooKeeper 概念讲的最清楚的一篇文章

相信大家对 ZooKeeper 应该不算陌生。但是你真的了解 ZooKeeper 是个什么东西吗?如果别人/面试官让你给他讲讲 ZooKeeper 是个什么东...

1884
来自专栏互联网杂技

为何webpack风靡全球?三大主流模块打包工具对比

前端的模块系统经历了长久的演变,对应的模块打包方案也几经变迁。从最初简单的文件合并,到AMD 的模块具名化并合并,再到browserify将CommonJS 模...

3808
来自专栏北京马哥教育

Python与系统日常管理

大多时间都在linux下工作,虽说不算系统管理员,也免不了要处理许多系统相关的东西。对linux还算熟悉,偶尔也在公司客串系统管理员的角色。于是就免不了要写许...

3726
来自专栏网站漏洞修补

网站标题被篡改成北京赛车、PK10的解决处理办法漏洞修补

客户网站于近日被跳转到赌博网站,打开后直接跳转到什么北京赛车,PK10等内容的网站上去,客户网站本身做了百度的推广,导致所有访问用户都跳转到赌博网站上去,给客户...

2527
来自专栏蛋未明的专栏

myweb框架简单说明

1223

扫码关注云+社区