Day66：WEB攻防-Java安全SPEL表达式SSTI模版注入XXEJDBCMyBatis注入

目录

JavaSec搭建

Hello-Java-Sec搭建

Java安全-SQL注入-JDBC&MyBatis

Java安全-XXE注入-Reader&Builder

Java安全-SSTI模版-Thymeleaf&URL

Java安全-SPEL表达式-SpringBoot框架

知识点：

1、Java安全-SQL注入-JDBC&MyBatis

2、Java安全-XXE注入-Reader&Builder

3、Java安全-SSTI模版-Thymeleaf&URL

4、Java安全-SPEL表达式-SpringBoot框架

JavaSec搭建

项目下载地址：https://github.com/bewhale/JavaSec

使用java8运行jar文件

Hello-Java-Sec搭建

java8 -jar javasec-1.11.jar

Java安全-SQL注入-JDBC&MyBatis

Java操作数据库的三种方式：JDBC，MyBatis，Hibernate

-Hibernate

Hibernate是一个Java持久化框架，它提供了一种将对象映射到关系数据库表的机制。通过Hibernate，开发人员可以使用面向对象的方式来操作数据库，而不需要编写复杂的SQL语句。

Hibernate的核心思想是对象关系映射（Object-Relational Mapping，ORM），它将Java对象和数据库表之间建立了映射关系，使开发人员可以通过操作Java对象来实现对数据库的操作，而无需直接操作SQL语句。

Hibernate提供了一系列的API和工具，用于处理对象的持久化、查询、缓存和事务管理等方面。它还提供了一个强大的查询语言HQL（Hibernate Query Language），类似于SQL语法，但更加面向对象。

使用Hibernate可以简化开发过程，提高效率，并且具有良好的跨数据库兼容性。它是Java开发中最流行的ORM框架之一，被广泛应用于企业级应用程序的开发中。
Hibernate作为一个成熟的框架，在安全性方面表现良好，并且经过了广泛的安全测试和修复。

-JDBC
1、采用Statement方法拼接SQL语句
2、PrepareStatement会对SQL语句进行预编译，但如果直接采取拼接的方式构造SQL，此时进行预编译也无用。
3、JDBCTemplate是Spring对JDBC的封装，如果使用拼接语句便会产生注入
安全写法：SQL语句占位符（?） + PrepareStatement预编译

-MyBatis
MyBatis支持两种参数符号，一种是#，另一种是$，#使用预编译，$使用拼接SQL。
1、order by注入：由于使用#{}会将对象转成字符串，形成order by "user" desc造成错误，因此很多研发会采用${}来解决，从而造成注入.
2、like 注入：模糊搜索时，直接使用'%#{q}%' 会报错，部分研发图方便直接改成'%${q}%'从而造成注入.
3、in注入：in之后多个id查询时使用 # 同样会报错，从而造成注入.

-代码审计案例：inxedu后台MyBatis注入

JDBC：Java语言连接数据库操作

方式一：采用Statement方法拼接SQL语句(没有预编译)

URL编码解码平台：https://tool.chinaz.com/tools/urlencode.aspx

updatexml(1,concat(0x7e,(SELECT user()),0x7e),1) 

  • 将一个波浪符(~)与当前用户的用户名拼接起来，并将该值作为XML节点的新值更新到XML文档中。
  • 括号中的concat(0x7e,(SELECT user()),0x7e)表示将波浪符与当前用户的用户名连接起来。
  • 0x7e是一个十六进制数，表示的是一个特定的 ASCII 字符，即波浪符（~）。

方式二：PrepareStatement会对SQL语句进行预编译，但如果直接采取拼接的方式构造SQL，此时进行预编译也无用。

这种方式不能避免SQL语句的拼接

JDBCTemplate是Spring对JDBC的封装，如果使用拼接语句便会产生注入

安全写法：SQL语句占位符（?） + PrepareStatement预编译

事实证明，最框架的不安全使用会造成SQL注入漏洞

大型网站不用想，小型网站有测试的价值

MyBatis( mybatis是一个优秀的基于java的持久层框架,它内部封装了 jdbc)
MyBatis支持两种参数符号，一种是#，另一种是$，#使用预编译，$使用拼接SQL。（造成注入原因也是因为使用了$进行拼接）

order by 造成SQL注入：由于使用#{}会将对象转成字符串，形成order by “user” desc造成错误，因此很多研发会采用${}来解决，从而造成注入

这个SQL语句的目的是将0x7e以及当前用户的用户名插入到指定的XML字段中，从而执行恶意操作或泄露敏感信息。

  • 第一个参数是要更新的XML字段
  • 第二个参数是XPath表达式  ~admin
  • 第三个参数是要更新的新值。

在这个例子中，使用了concat函数来拼接字符串，包括特殊字符0x7e（波浪符）以及查询当前用户的子查询select user()。

like 注入：模糊搜索时，直接使用’%#{q}%’ 会报错，部分研发图方便直接改成’%${q}%'从而造成注入.

in注入：in之后多个id查询时使用 # 同样会报错，从而造成注入.

白盒审计

在真实情况下，需要先分析源码里用了那种方式操作数据库(JDBC还是MyBatis)，然后在针对性看代码写法，JDBC如果没用到安全写法，那么就容易出现问题。MyBatis看代码用了$还是#，#号就可以不用看了，$符号就看是不是在order by、like、in里面，在就恭喜了。

代码审计案例：inxedu后台MyBatis注入

1、配置安装源码

端口要与配置文件一致

默认/inxedu_war路径即可

启动项目后报错：

2、代码审计分析

通过java文件名判断应该是admin目录，登录后台。

直接把整个请求数据包放到txt给sqlmap跑即可

Java安全-XXE注入-Reader&Builder

XXE  ( XML  External Entity Injection ),  XML外部实体注入，当开发人员配置其XML解析功能允许外部实体引用时，攻击者可利用这一可引发安全问题的配置方式，实施任意文件读取、内网端口探测、命令执行、拒绝服务等攻击。

XML（可扩展标记语言）是一种用于表示和传输结构化数据的标记语言。它被设计成具有可读性强且可扩展的特点，常用于在不同系统之间进行数据交换和存储。

XML使用标签来描述数据的结构和含义。每个XML文档都由标签和内容构成，标签用于标识数据的元素，而内容则是元素的具体值或子元素。标签可以嵌套，形成层次结构，以便表示复杂的数据关系.

在代码审计时需要审计这些XML处理函数，这是一些与XML处理相关的类和接口的列表。它们通常在编程语言中的XML解析库或API中使用，用于读取、解析、转换和处理XML数据。

  • XMLReader：用于顺序读取XML文档的内容，并提供了一种基于事件的方式来处理XML数据。
  • SAXReader：一种用于读取和解析XML文档的SAX（Simple API for XML）解析器。
  • DocumentBuilder：用于创建DOM（Document Object Model）对象的接口，可以将XML文档加载到内存中进行操作。
  • XMLStreamReader：一种用于读取和解析XML文档的StAX（Streaming API for XML）解析器。
  • SAXBuilder：用于构建SAX解析器的类，用于读取和解析XML文档。
  • SAXParser：一种用于解析XML文档的SAX解析器。
  • SAXSource：用于将SAX事件作为输入源的对象，可以用于将SAX解析器与其他处理器（如XSLT转换器）进行连接。
  • TransformerFactory：用于创建Transformer对象的工厂类，可以将XML文档进行转换、处理和生成。
  • SAXTransformerFactory：用于创建SAXTransformerHandler对象的工厂类，可以在SAX事件处理期间进行XML转换和处理。
  • SchemaFactory：用于创建XML Schema验证器的工厂类，可以用于验证XML文档的结构和内容。
  • Unmarshaller：用于将XML文档解组为Java对象的接口，通常与Java的XML绑定技术（如JAXB）一起使用。
  • XPathExpression：用于执行XPath查询的接口，可以在XML文档中查找和选择特定的元素和属性。

 造成XXE常见的函数：

XXE常见Payload

如何配置XML允许引入外部解析实体？

在XML中启用外部实体解析需要进行相关配置。具体的配置方法可能因为使用的XML解析器和库的不同而有所差异。下面是一些通用的配置方法：

// 使用DocumentBuilderFactory：
DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", true);

// 使用SAXParserFactory
SAXParserFactory factory = SAXParserFactory.newInstance();
factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", true);

// 使用TransformerFactory
TransformerFactory factory = TransformerFactory.newInstance();
factory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, false);

这些配置方法通常通过设置相关的特性或属性来实现。具体要设置的特性或属性名称可能因使用的解析器和库的不同而有所差异。上述示例中提到了一些常用的特性或属性名称，但具体的名称可能需要根据你使用的解析器和库进行适当的调整。

Java安全-SSTI模版-Thymeleaf&URL

SSTI(Server Side Template Injection) 服务器模板注入, 服务端接收了用户的输入，将其作为 Web 应用模板内容的一部分，在进行目标编译渲染的过程中，执行了用户插入的恶意内容。
1、URL作视图
2、Velocity
3、Thymeleaf
其他语言参考：https://www.cnblogs.com/bmjoker/p/13508538.html

URL作视图

Velocity

参考文章：https://www.cnblogs.com/bmjoker/p/13508538.html

Thymeleaf

Java安全-SPEL表达式-SpringBoot框架

SpEL （ Spring Expression Language ）表达式注入 ,  是一种功能强大的表达式语言、用于在运行时查询和操作对象图，由于未对参数做过滤可造成任意命令执行。

1、Spring表达式

2、Spring反射绕过

参考：https://www.jianshu.com/p/e3c77c053359

Spring表达式

Spring反射绕过(黑名单过滤)

原有注入手段失效

被关键字段检测到

把关键字拆分组合绕过

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/462742.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

vanna：基于RAG的text2sql框架

vanna：基于RAG的text2sql框架

文章目录 vanna简介及使用vanna的原理vanna的源码理解总结参考资料 vanna简介及使用 vanna是一个开源的利用了RAG的SQL生成python框架，在2024年3月已经有了5.8k的star数。 Vanna is an MIT-licensed open-source Python RAG (Retrieval-Augmented Generation) fram…
阅读更多...
SAP CAP篇十五：写个ERP的会计系统吧，Part II

SAP CAP篇十五：写个ERP的会计系统吧，Part II

本文目录 本系列文章目标开发步骤数据库表设计初始数据初始数据：AccountCategories初始数据：AccountUsages初始数据：ChartOfAccounts初始数据：AccountSubjects Service 定义生成Fiori AppApp运行 本系列文章 SAP CAP篇一: 快速创…
阅读更多...
【GitHub】使用git链接下载很慢？试试服务器配置SSH，起飞

【GitHub】使用git链接下载很慢？试试服务器配置SSH，起飞

参考文献 保姆级教学，教你用配置SSH拉取github代码 CentOS ssh -T gitgithub.comgit config --global user.name "learnore" git config --global user.email "15200831505163.com"cd /root/.ssh vim id_rsa.pubGitHub Settings 结果 下载速…
阅读更多...
路由器端口转发远程桌面控制：一电脑连接不同局域网的另一电脑

路由器端口转发远程桌面控制：一电脑连接不同局域网的另一电脑

一、引言 路由器端口转发：指在路由器上设置一定的规则，将外部的数据包转发到内部指定的设备或应用程序。这通常需要对路由器进行一些配置，以允许外部网络访问内部网络中的特定服务和设备。端口转发功能可以实现多种应用场景，例如远…
阅读更多...
通用的springboot web jar包执行脚本，释放端口并执行jar包

通用的springboot web jar包执行脚本，释放端口并执行jar包

1、通用的springboot web jar包执行脚本，释放端口并执行jar包： #!/bin/bash set -eDATE$(date %Y%m%d%H%M) # 基础路径 BASE_PATH/data/yitu-projects/yitu-xzhq/sftp # 服务名称。同时约定部署服务的 jar 包名字也为它。 SERVER_NAMEyitu-server # 环境…
阅读更多...
java小型人事管理系统

java小型人事管理系统

开发工具： MyEclipseJdkTomcatSQLServer数据库 运行效果视频： https://pan.baidu.com/s/1hshFjiG 定制论文，联系下面的客服人员
阅读更多...
高可用系统有哪些设计原则

高可用系统有哪些设计原则

1.降级 主动降级：开关推送 被动降级：超时降级 异常降级 失败率 熔断保护 多级降级2.限流 nginx的limit模块 gateway redisLua 业务层限流 本地限流 gua 分布式限流 sentinel 3.弹性计算 弹性伸缩—K8Sdocker 主链路压力过大的时候可以将非主链路的机器给…
阅读更多...
【STM32定时器 TIM小总结】

【STM32定时器 TIM小总结】

STM32 TIM详解 TIM介绍定时器类型基本定时器通用定时器高级定时器常用名词时序图预分频时序计数器时序图 定时器中断配置图定时器定时 代码调试 TIM介绍 定时器（Timer）是微控制器中的一个重要模块，用于生成定时和延时信号，以及处…
阅读更多...
鸿蒙Harmony应用开发—ArkTS声明式开发（容器组件：Row）

鸿蒙Harmony应用开发—ArkTS声明式开发（容器组件：Row）

沿水平方向布局容器。 说明： 该组件从API Version 7开始支持。后续版本如有新增内容，则采用上角标单独标记该内容的起始版本。 子组件 可以包含子组件。 接口 Row(value?:{space?: number | string }) 从API version 9开始，该接口支持在…
阅读更多...
HarmonyOS NEXT应用开发—Grid和List内拖拽交换子组件位置

HarmonyOS NEXT应用开发—Grid和List内拖拽交换子组件位置

介绍 本示例分别通过onItemDrop()和onDrop()回调，实现子组件在Grid和List中的子组件位置交换。 效果图预览 使用说明： 拖拽Grid中子组件，到目标Grid子组件位置，进行两者位置互换。拖拽List中子组件，到目标List子组件…
阅读更多...
阿里云-零基础入门推荐系统 【特征工程】

阿里云-零基础入门推荐系统 【特征工程】

文章目录 赛题介绍评价方式理解赛题理解制作特征和标签， 转成监督学习问题导包df节省内存函数训练和验证集的划分获取历史点击和最后一次点击读取训练、验证及测试集读取召回列表读取各种Embedding读取文章信息读取数据对训练数据做负采样将召回数据转换成字典制作与…
阅读更多...
Java后端八股-------并发编程

Java后端八股-------并发编程

图中的 synchronized方法如果没有锁，那么可能会有超卖，数据错误等情况。 加锁之后会按顺序售卖。 synchronized的底层是monitor。 线程没有竞争关系的时候，引入了轻量级锁，当需要处理竞争关系的时候一定要用到重量级锁(线程的…
阅读更多...
图像处理ASIC设计方法 笔记10 插值算法的流水线架构

图像处理ASIC设计方法 笔记10 插值算法的流水线架构

（一） 三次插值算法实现的图像旋转设计的流水线架构 传统上，三次插值算法实现的图像旋转设计需要三块一样的处理资源，为了节约资源，采用流水线设计，简单来讲就是三次插值算法共用一块资源，优化这…
阅读更多...
Android Studio 打包 Maker MV apk 详细步骤

Android Studio 打包 Maker MV apk 详细步骤

一.使用RPG Make MV 部署项目，获取项目文件夹 这步基本都不会有问题： 二.安装Android Studio 安装过程参考教材就行了： https://blog.csdn.net/m0_62491877/article/details/126832118 但是有的版本面板没有Android的选项（勾…
阅读更多...
OpenCV 环境变量参考

OpenCV 环境变量参考

返回：OpenCV系列文章目录（持续更新中......） 上一篇： OpenCV4.9.0配置选项参考 下一篇：OpenCV4.9.0配置选项参考 引言： OpenCV是一个广泛使用的图像和视频处理开源库，拥有丰富的图像算法和函…
阅读更多...
ChatGPT编程—实现小工具软件(批量替换文本、批量处理图像文件)

ChatGPT编程—实现小工具软件(批量替换文本、批量处理图像文件)

ChatGPT编程—实现小工具软件(批量替换文本、批量处理图像文件) 今天借助[小蜜蜂AI][https://zglg.work]网站的ChatGPT编程实现一个功能：批量处理文件及其内容，例如批量替换文本、批量处理图像文件等。 环境：Pycharm 2021 系统&#xff1a…
阅读更多...
DDR协议基础进阶（三）——（基本功能、初始化、MR寄存器）

DDR协议基础进阶（三）——（基本功能、初始化、MR寄存器）

DDR协议基础进阶（三）——（基本功能、初始化、MR寄存器） 一、DDR基本功能 DDR基本功能主要包括： 8-bit prefetch预取——8-bit，是指8位数据，即8倍芯片位宽的数据。由于DDR内部数据传输是32bit…
阅读更多...
NVENC 视频编码器 API 编程指南 ( 中文转译 )

NVENC 视频编码器 API 编程指南 ( 中文转译 )

基于 NVIDIA Kepler™ 和更高版本 GPU 架构的 NVIDIA GPU 包含基于硬件的 H.264/HEVC/AV1 视频编码器（以下简称 NVENC）。NVENC 硬件采用 YUV/RGB 作为输入，并生成符合H.264/HEVC/AV1 标准的视频比特流。可以使用 NVIDIA 视频编解码器 SDK 中提…
阅读更多...
柚见十三期(优化)

柚见十三期(优化)

前端优化 加载匹配功能与加载骨架特效 骨架屏 : vant-skeleton index.vue中 /** * 加载数据 */ const loadData async () > { let userListData; loading.value true; //心动模式 if (isMatchMode.value){ const num 10;//推荐人数 userListData await myA…
阅读更多...
GiT: Towards Generalist Vision Transformer through Universal Language Interface

GiT: Towards Generalist Vision Transformer through Universal Language Interface

GiT: Towards Generalist Vision Transformer through Universal Language Interface 相关链接：arxiv github 关键字：Generalist Vision Transformer (GiT)、Universal Language Interface、Multi-task Learning、Zero-shot Transfer、Transformer 摘要 …
阅读更多...
最新文章

Copyright @ 2022~2023