关于DWR
  DWR（Direct Web Remoting）是一个用于改善web页面与Java类交互的远程服务器端Ajax开源框架，可以帮助开发人员开发包含AJAX技术的网站。
DWR主要包括两部分：
DWR会根据你的Java类动态的生成Javascript代码，并负责数据的传递和转换。
这种Java和Javascript之间的远程调用会让DWR用户感觉像是曾经习惯使用的RMI或SOAP的RPC机制。而且这一过程还不需要额外的浏览器插件。
具体实现
要使用dwr需要进行简单的配置，主要是web.xml和dwr.xml这两个配置文件。
首先是web.xml，最简单的只需要配置dwr对应的servlet映射即可：
xml
<servlet>
<servlet-name>dwr-invoker</servlet-name>
<servlet-class>org.directwebremoting.servlet.DwrServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>dwr-invoker</servlet-name>
<url-pattern>/dwr/*</url-pattern>
</servlet-mapping>
然后提供了额外的参数进行相关配置,例如若想跨域支持可以在对应的<servlet>节点配置如下参数:
```xml
<!-- Enables remoting -->
allowScriptTagRemoting
true
crossDomainSessionSecurity
false
allowGetForSafariButMakeForgeryEasier
true
```
其他的一些可选参数：
| 属性名称 | 作用 |
| ------------------------ | -------------------------------------------------- |
| jsonpEnabled | 设置为true时直接JSONP |
| debug | 设置为true时可以启用debug模式，可访问dwr的测试页面 |
| scriptSessionTimeout | 设置scriptSessions的超时时间 |
| maxWaitingThreads | 最大线程等待数 |
| maxCallCount | 最大调用数量 |
| maxHitsPerSecond | 最大访问量/每秒 |
| classes | 设定需要注解的域对象以及业务实现类 |
| activeReverseAjaxEnabled | 设置为true时启用轮询和长连接 |
| maxWaitAfterWrite | 设置长连接的时间 |
| ...... | ...... |
可以根据实际需要增加对应的属性。
配置好了对应的servlet映射以后，就是dwr.xml了，其是DWR的标准配置文件，默认情况下你要将其放到WEB-INF根目录下。例如一个简单的案例:
xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE dwr PUBLIC
"-//GetAhead Limited//DTD Direct Web Remoting 3.0//EN"
"http://getahead.org/dwr/dwr30.dtd">
<dwr>
<allow>
<create javascript="dwrtest" creator="new" scope="application"><!-- application -->
<param name="class" value="com.test.dwrtest"></param>
</create>
</allow>
</dwr>
相关标签的含义：
- allow：allow部分定义了哪些class能被DWR创建和转换以供全局过滤器使用。
- create：任何我们想要被js执行的Java类都需要在此标签创建。
- convert：将类转换成js对象。这样js可以以对象的方式处理参数。
同样的可以使用注解的方式进行代替。例如@RemoteMethod对应dwr.xml文件中的create标签，用于创建DWR所提供的远程方法。
dwr.xml配置文件可以有一个或者多个，都需要在web.xml文件中声明。
完成上述配置后，这样在js调用层我们可以通过/dwr/interface/dwrtest.js的dwrtest变量调用我们编写的函数（findByUserId）了：
html
<script type='text/javascript' src='/dwr/interface/dwrtest.js'></script>
function findByUserId(){
var userId = getQueryString("name");
$("#userName").html(userId);
dwrtest.findByUserId(userId);
......
}
到此简单的dwr实现就完成了，可以根据实际的业务需要进行调整拓展。
dwr的request数据包格式也比较看辨认，例如下面的例子：
```
POST /DwrProject/dwr/call/plaincall/dwrtest.findByUserId.dwr HTTP/1.1
Host: ip:port
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:62.0) Gecko/20100101 Firefox/62.0
Accept: /
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: text/plain
Content-Length: 227
Cookie: JSESSIONID=F0DE72C197AFEF273E84AC3686F4F8C7; DWRSESSIONID=7viforTWTj$BVBJSxv99$V*hVgn
Connection: close
callCount=1
windowName=
c0-scriptName=dwrtest
c0-methodName=findByUserId
c0-id=0
c0-param0=number:1
batchId=1
instanceId=0
page=%2FDwrProject%2Fdwr%2Ftest%2Fdwrtest
scriptSessionId=7viforTWTj$BVBJSxv99$VhVgn/YsBVgn-XOm0BUHfr
```
类测试地址泄漏
前面提到一个debug属性，当设置为true时可以启用debug模式，可访问dwr的测试页面：
xml
<init-param>
<param-name>debug</param-name>
<param-value>true</param-value>
</init-param>
一般来说在实际开发时，开发喜欢直接拿现有的demo进行修改，那么如果dwr配置中配置了debug参数且设置为true时，就会导致类测试地址泄漏的问题，相关路径：
/dwr/index.html
访问效果如下：
点击进去就是对应的接口测试页面了,填写对应参数的值，点击Execute即可发送对应的请求进行debug：
当debug属性设置为true时，相关的测试页面是可以直接未授权访问的，相应的会带来一系列的安全问题。很多开发人员使用DWR框架开发时经常前后端不分，例如DWR直接调用数据库信息把用户登陆逻辑直接放到了前端来做。结合类测试地址泄漏，可以达到很多意想不到的效果。
最常见的就是未授权访问，通过对应的api接口可以读取敏感信息，进行业务操作等。例如WooYun库里的案例,直接通过Execute即可获取敏感信息：
除此之外，一些常见的漏洞也可能涉及：
- SQL注入
- 任意文件上传/下载
- .......
因为类测试地址泄漏是直接暴露在相关web路径下的。所有人均可以访问查看。通过这一点即可获取项目上所有的接口信息。那么结合实际业务，直接测试即可。
修复建议
在生产环境上需将DWR配置的debug属性注释掉（关闭debug模式）。
参考资料
http://directwebremoting.org/dwr/documentation/?hmsr=aladdin1e5
=== 操作系统 === 发行类型、发行版本 ``` cat /etc/issue cat /etc/*-release cat /etc/lsb-release cat /etc/redhat-release uname -n //hostname主机名…
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论