项目介绍环境搭建漏洞挖掘   任意文件上传   XSS(存储型)   SSRF最后

@RequestMapping("check")@Csrf@ResponseBodypublicbooleancheck(@RequestAttribute SysSite site, @RequestParam("fileNames[]") String[] fileNames, String path) {if (null != fileNames) {  //if 判断我们上传的文件名是否为null for (String fileName : fileNames) {   //for 获取我们上传的文件名String filepath = CommonUtils.joinString(path, Constants.SEPARATOR, fileName); //使用joinString 拼接完整文件路径if (CmsFileUtils.exists(siteComponent.getWebFilePath(site.getId(), filepath))) { //使用exists 判断文件是否存在return true; } } } return false;

    @RequestMapping("doUpload")    @Csrf    public String upload(@RequestAttribute SysSite site, @SessionAttribute SysUser admin, MultipartFile[] files, String path,            boolean privatefile, boolean overwrite, HttpServletRequest request, ModelMap model) {if (null != files) {  //if判断文件名是否为null            try {for (MultipartFile file : files) {   //for 循环获取我们上传的文件                    String originalName = file.getOriginalFilename(); //获取文件名：shell.jspf                    String suffix = CmsFileUtils.getSuffix(originalName);  //获取文件后缀：jspf                    String filepath = CommonUtils.joinString(path, Constants.SEPARATOR, originalName);                    // 这里拼接我们上传的路径： + / + shell.jspf //path没写所以是空                    String fuleFilePath = siteComponent.getWebFilePath(site.getId(), filepath);                    //getWebFilePath是自定义方法，是使用joinString拼接完整路径，并且限制了../防止了目录穿越if(ArrayUtils.contains(safeConfigComponent.getSafeSuffix(site), suffix)) {                        //对文件后缀进行白名单判断if (overwrite || !CmsFileUtils.exists(fuleFilePath)) {                                  //判断文件是否存在if (CmsFileUtils.exists(fuleFilePath)) {                                             String historyFilePath = siteComponent.getWebHistoryFilePath(site.getId(), filepath, true);                                try {                                    CmsFileUtils.copyFileToFile(historyFilePath, historyFilePath);                                } catch (IOException e1) {                                }                            }大概意思就是这样，那么这处限制了目录穿越，限制了文件后缀并且是白名单检查，字典如下（断点调试可以得到）[".mp3", ".wav", ".mid", ".flv", ".swf", 其他 +38]允许上传常规文件，有html，zip等等这里发现可以上传zip，并且有解压zip的功能，尝试上传zip，解压抓包查看对应路由                            CmsFileUtils.upload(file, fuleFilePath);                            //使用upload方法上传文件if (CmsFileUtils.isSafe(fuleFilePath, suffix)) {                                //.isSafe方法来检查文件，检查后缀，针对SVG & PDF                                FileUploadResult uploadResult = CmsFileUtils.getFileSize(fuleFilePath, originalName, suffix);                                //记录文件上传日志                                logUploadService.save(new LogUpload(site.getId(), admin.getId(),                                        LogLoginService.CHANNEL_WEB_MANAGER, originalName, privatefile, CmsFileUtils.getFileType(CmsFileUtils.getSuffix(originalName)), file.getSize(),                                        uploadResult.getWidth(), uploadResult.getHeight(), RequestUtils.getIpAddress(request),                                        CommonUtils.getDate(), filepath));                            } else {                                //处理不安全的文件                                CmsFileUtils.delete(fuleFilePath);                                model.addAttribute(CommonConstants.ERROR, "verify.custom.file.unsafe");return CommonConstants.TEMPLATE_ERROR;                            }                        }                    } else {                        model.addAttribute(CommonConstants.ERROR, "verify.custom.fileType");return CommonConstants.TEMPLATE_ERROR;                    }                }            } catch (IOException e) {                model.addAttribute(CommonConstants.ERROR, e.getMessage());                log.error(e.getMessage(), e);return CommonConstants.TEMPLATE_ERROR;            }        }return CommonConstants.TEMPLATE_DONE;    }

publicStringdoUnzip(@RequestAttribute SysSite site, @SessionAttributeSysUser admin, String path, String encoding,boolean here, boolean overwrite, HttpServletRequest request, ModelMap model) {if (CommonUtils.notEmpty(path) && path.toLowerCase().endsWith(".zip")) {//获取并判断文件后缀是否为zip            String filepath = siteComponent.getWebFilePath(site.getId(), path);            //拼接文件完整路径            if (CmsFileUtils.isFile(filepath)) {                //判断文件是否存在                try {                    if (here) {                        ZipUtils.unzipHere(filepath, encoding, overwrite, (f, e) -> {                            String historyFilePath = siteComponent.getTemplateHistoryFilePath(site.getId(), e.getName(), true);                            try { CmsFileUtils.copyInputStreamToFile(f.getInputStream(e), historyFilePath);                            } catch (IOException e1) {                            }                            return true;                        });                    } else {                        ZipUtils.unzip(filepath, encoding, overwrite, (f, e) -> {                            String historyFilePath = siteComponent.getWebHistoryFilePath(site.getId(), e.getName(), true);                            try { CmsFileUtils.copyInputStreamToFile(f.getInputStream(e), historyFilePath);                            } catch (IOException e1) {                            }                            return true;                        });                    }                } catch (IOException e) {                    model.addAttribute(CommonConstants.ERROR, e.getMessage());                    log.error(e.getMessage(), e);} } logOperateService .save(new LogOperate(site.getId(), admin.getId(), admin.getDeptId(), LogLoginService.CHANNEL_WEB_MANAGER, "unzip.web.webfile", RequestUtils.getIpAddress(request), CommonUtils.getDate(), path)); } return CommonConstants.TEMPLATE_DONE; }

@RequestMapping(params = "action=" + ACTION_CATCHIMAGE) //路由?actio=catchimage @ResponseBody public Map<String, Object> catchimage(@RequestAttribute SysSite site, @SessionAttribute SysUser admin, HttpServletRequest request) { try (CloseableHttpClient httpclient = HttpClients.custom().setDefaultRequestConfig(Constants.defaultRequestConfig) .build()) { String[] files = request.getParameterValues(FIELD_NAME + "[]");获取file[]参数中的值赋值给filesimageif (CommonUtils.notEmpty(files)) { //判断内容是否为空List<Map<String, Object>> list = new ArrayList<>();for (String image : files) { //循环遍历files，赋值和image HttpGet httpget = new HttpGet(image); //创建http请求，地址为CloseableHttpResponse response = httpclient.execute(httpget);  //发送http请求HttpEntity entity = response.getEntity();