01
JDK版本号排查
JDK版本排查
Spring框架使用情况排查
第一种
-
解压war包:将war文件的后缀修改成.zip ,解压zip文件
-
在解压缩目录下搜索是否存在 spring-beans-.jar 格式的jar文件(例如spring-beans-5.3.16.jar),如存在则说明业务系统使用了spring框架进行开发。
-
如果spring-beans-.jar 文件不存在,则在解压缩目录下搜索CachedIntrospectionResuLts.class 文件是否存在,如存在则说明业务系统使用了Spring框架开发。
第二种
-
解压jar包:将jar文件的后缀修改成.zip,解压zip文件。
-
在解压缩目录下搜索是否存在
spring-beans-.jar
格式的jar文件(例如spring-beans-5.3.16.jar
),如存在则说明业务系统使用了spring框架进行开发。 -
如果spring-beans-.jar 文件不存在,则在解压缩目录下搜索
CachedIntrospectionResuLts.class
文件是否存在,如存在则说明业务系统使用了spring框架进行开发。
综合判断
-
JDK版本号在9及以上的;
-
使用了spring框架或衍生框架。
02
修复建议
WAF防护
“class.”“Class.”“.class.”“.Class.”
等字符串的规则过滤,并在部暑过滤规则后,对业务运行情况进行测试,避免产生额外影响。临时修复措施
需同时按以下两个步骤进行漏涧的临时修复:
-
在应用中全局搜索
@InitBinder
注解,看看方法体内是否调用dataBinder.setDisallowedFields
方法,如果发现此代码片段的引入,则在原来的黑名单中,添加{"class.","Class. ",". class.", ".Class."}
。(注:如果此代码片段使用较多,需要每个地方都追加)
-
在应用系统的项目包下新建以下全局类,并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后,需对项目进行重新编译打包和功能验证测试。并重新发布项目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class GlobalControllerAdvice{
@InitBinder
public void setAllowedFields(webdataBinder dataBinder){
String[]abd=new string[]{"class.","Class.",".class.",".Class."};
dataBinder.setDisallowedFields(abd);
}
}
好文推荐
欢迎关注 系统安全运维
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论