java审计之下载漏洞获取到的代码如何断点调试

admin 2025年6月4日01:36:48评论10 views字数 1170阅读3分54秒阅读模式
前言
文件下载漏洞获取到网站源码,想通过代码审计漏洞,但是逻辑太复杂,难以直接复现出来,这时候就需要断点调试了。
演示
以调试jar包举例,这里以之前下载到的源码演示一下
java -agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005 -jar web.jar
出现5005表示运行成功
java审计之下载漏洞获取到的代码如何断点调试
1、在线平台反编译
https://www.decompiler.com/
这种方法比较简单,将代码放到在线平台反编译,这个平台反编译后的代码比较完整,方便调试。在线平台可能会存在泄露代码的问题,安全起见可以使用本地反编译
java审计之下载漏洞获取到的代码如何断点调试
将反编译后的代码打开,编辑配置,选择远程调试
java审计之下载漏洞获取到的代码如何断点调试
java审计之下载漏洞获取到的代码如何断点调试
点击确认,最好项目的jdk版本与本地运行jar的版本相同
java审计之下载漏洞获取到的代码如何断点调试
点击调试
java审计之下载漏洞获取到的代码如何断点调试
连接成功
java审计之下载漏洞获取到的代码如何断点调试
然后打开本地运行的jar服务
java审计之下载漏洞获取到的代码如何断点调试
对登录接口断点一下试试
java审计之下载漏洞获取到的代码如何断点调试
成功将数据断下来
java审计之下载漏洞获取到的代码如何断点调试
java审计之下载漏洞获取到的代码如何断点调试
接下来就可以像有源码的程序一样正常调试了
2、本地反编译
如果不想使用在线平台,可以使用本地反编译
将jar包直接解压代码
java审计之下载漏洞获取到的代码如何断点调试
java审计之下载漏洞获取到的代码如何断点调试
IDEA新建一个空项目,项目结构->库,选择刚才解压程序Jar包中BOOT-INF/classes
java审计之下载漏洞获取到的代码如何断点调试
模块处勾选刚才导入的依赖
java审计之下载漏洞获取到的代码如何断点调试
添加完毕后,在左侧依赖库侧边栏中显示了这个依赖
java审计之下载漏洞获取到的代码如何断点调试
再将刚才解压jar包中BOOT-INF/lib添加进依赖里
java审计之下载漏洞获取到的代码如何断点调试
java审计之下载漏洞获取到的代码如何断点调试
java审计之下载漏洞获取到的代码如何断点调试
找到登录接口代码进行断点
java审计之下载漏洞获取到的代码如何断点调试
和刚才一样配置远程调试
java审计之下载漏洞获取到的代码如何断点调试
点击登录
java审计之下载漏洞获取到的代码如何断点调试
成功断点
java审计之下载漏洞获取到的代码如何断点调试
补充:
如果我想修改jar包的代码后再调试呢?
idea下载插件
java审计之下载漏洞获取到的代码如何断点调试
然后使用maven,将本地的 JAR 文件手动安装到本地 Maven 仓库中
mvn install:install-file -Dfile=E:xxxxxxxxxxx.jar -DgroupId=com.test666 -DartifactId=house -Dversion=0.0.1 -Dpackaging=jar
E:xxxxxxxxxxx.jar为你要修改的jar包位置,-DgroupId    -DartifactId可以随便写。
记住这个路径
java审计之下载漏洞获取到的代码如何断点调试
新建一个空项目
java审计之下载漏洞获取到的代码如何断点调试
在的pom.xml中导入刚才安装到本地maven仓库的项目
<dependencies>    <dependency>        <groupId>com.test666</groupId>        <artifactId>house</artifactId>        <version>0.0.1</version>    </dependency></dependencies>
java审计之下载漏洞获取到的代码如何断点调试
同时IDEA设置中maven仓库位置要选对
java审计之下载漏洞获取到的代码如何断点调试
左侧依赖库可以看到刚才导入的依赖
java审计之下载漏洞获取到的代码如何断点调试
找到要修改的代码,这里我随便修改了信息
java审计之下载漏洞获取到的代码如何断点调试
修改后使用插件保存
java审计之下载漏洞获取到的代码如何断点调试
来到刚才的maven仓库位置
java审计之下载漏洞获取到的代码如何断点调试
重新修改后的jar包位置在这里
java审计之下载漏洞获取到的代码如何断点调试
运行jar包
java审计之下载漏洞获取到的代码如何断点调试
java审计之下载漏洞获取到的代码如何断点调试

代码成功被修改

java审计之下载漏洞获取到的代码如何断点调试

原文始发于微信公众号(有恒安全):java审计之下载漏洞获取到的代码如何断点调试

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年6月4日01:36:48
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   java审计之下载漏洞获取到的代码如何断点调试https://cn-sec.com/archives/4129193.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息