-
前言
前些天在逛社区的时候,偶然发现一篇好文章,主要的是思路上非常值得我学习。虽然努力了好几天,因为上传原因,不能够成功复现,所以就作为一个搬运工学习学习!
-
源码地址
https://gitee.com/jeecg/jeecg
-
分析思路总结
审计前要先翻阅web.xml查阅配置文件,可以发现这是一个spring mvc的框架
springframework 是spring 里面的一个基础开源框架,主要用于javaee的企业开发,可以发现这儿用到的springframework版本为4.0.9
filter过滤标签,可能存在权限的一些校验等等
紧接着,审查spring-mvc.xml是spring mvc的配置文件,这儿path的意思是包含全部文件,也就是所有文件都施行下面这个编码,bean标签指的是实现类
可以依据这个查询出版本、实现类的漏洞,然后就可以根据这个进行尝试去白盒挖掘漏洞,最后的话还是来看一个任意文件上传吧,触发点如下
根据burp抓包,显示的是调用的iconcrotroller的saveOrUpdateIcon方法
会去调用uploadfile方法,经过对uploadfile方法进行,经过分析发现,会去比对扩展名是否为txt,若不为txt直接保存文件,且对文件名、文件类型进行过滤
-
总结
其实主要还是对思路上的总结,对于php而言,没有太多的框架调用,所以就不存在类似问题,而java不同,可能因为依赖、引用类导致的漏洞都有,还有就是一开始的过滤器filter等等,这些都应该是在做代审之前所需要的信息收集~,以上仅为个人观点,有所不足,请多多指教,也欢迎大佬加入到微信群聊中~
原文始发于微信公众号(Undoubted Security):Java 记一次对Jeecg V4.0的漏洞分析思路总结
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论