Java 记一次对Jeecg V4.0的漏洞分析思路总结

• 前言

    前些天在逛社区的时候，偶然发现一篇好文章，主要的是思路上非常值得我学习。虽然努力了好几天，因为上传原因，不能够成功复现，所以就作为一个搬运工学习学习！

• 源码地址

https://gitee.com/jeecg/jeecg

• 分析思路总结

    审计前要先翻阅web.xml查阅配置文件，可以发现这是一个spring mvc的框架

    springframework 是spring 里面的一个基础开源框架，主要用于javaee的企业开发，可以发现这儿用到的springframework版本为4.0.9

    filter过滤标签，可能存在权限的一些校验等等

    紧接着，审查spring-mvc.xml是spring mvc的配置文件，这儿path的意思是包含全部文件，也就是所有文件都施行下面这个编码，bean标签指的是实现类

    可以依据这个查询出版本、实现类的漏洞，然后就可以根据这个进行尝试去白盒挖掘漏洞，最后的话还是来看一个任意文件上传吧，触发点如下

    根据burp抓包，显示的是调用的iconcrotroller的saveOrUpdateIcon方法

    会去调用uploadfile方法，经过对uploadfile方法进行，经过分析发现，会去比对扩展名是否为txt，若不为txt直接保存文件，且对文件名、文件类型进行过滤

• 总结

    其实主要还是对思路上的总结，对于php而言，没有太多的框架调用，所以就不存在类似问题，而java不同，可能因为依赖、引用类导致的漏洞都有，还有就是一开始的过滤器filter等等，这些都应该是在做代审之前所需要的信息收集~，以上仅为个人观点，有所不足，请多多指教，也欢迎大佬加入到微信群聊中~

原文始发于微信公众号（Undoubted Security）：Java 记一次对Jeecg V4.0的漏洞分析思路总结