Java Web 代码审计浅析（框架基础，漏洞种类整理）

编译与反编译：

• 使用IntelliJ IDEA反编译Jar包 
• 用IJ IDEA将项目打成jar包

 

JAVA web：

• 分层架构：为了方便清楚包与包之间的业务逻辑关系

  • 视图层（View 视图)
  • 控制层（Controller、Action 控制层）
  • 服务层（Service）
  • 业务逻辑层BO(business object)
  • 实体层（entity 实体对象、VO(value object) 值对象 、模型层（bean）。
  • 持久层（dao- Data Access Object 数据访问层、PO(persistant object) 持久对象）
  • 
• 模块化开发：
  • Maven
    • 
  • Gradle
  • OSGi ( Open Service Gateway Initiative  可实现模块热部署)
• Servlet： Servlet 是在 Java Web容器 上运行的 小程序 ,通常我们用 Servlet 来处理一些较为复杂的服务器端的业务逻辑。值得注意的是在 Servlet3.0 之后( Tomcat7+ )可以使用注解方式配置 Servlet 了。
  • 
  • Servlet3.0 之前的版本都需要在 web.xml 中配置， Servlet 是 两对标签 ，由 <servlet> 和 <servlet-mapping> 组成， Spring MVC框架就是基于Servlet技术 实现的。
  • 实现一个 Servlet 很简单，只需要继承 javax.servlet.http.HttpServlet 类并重写 doXXX 方法或者 service 方法
  • JSP、Servlet之间的关系
    • JSP、JSPX文件是可以直接被Java容器直接解析的动态脚本，jsp和其他脚本语言无异，不但可以用于页面数据展示，也可以用来处理后端业务逻辑。