【代码审计】53 JAVA项目 注入、上传、搜索、插件挖掘

最新推荐文章于 2024-11-13 20:51:46 发布
原创 最新推荐文章于 2024-11-13 20:51:46 发布 · 223 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文详细介绍了Javaweb审计中的SQL注入检测、预编译技术利用FindBugs插件、Fortify_SCA工具的应用，以及Ofcms平台的后台安全漏洞测试，包括文件上传和关键词搜索技巧。

where are you now

在这里插入图片描述

一、 Java web审计

1. 审计前： 确定框架（对应框架的问题）

  1. web.xml
  2. 导入的jar包 pom.xml
  3. 配置文件

在这里插入图片描述

2. 是否存在拦截器

通过查看web.xml
确定是否存在相关拦截器

二、例

Demo段SQL注入及预编译

在这里插入图片描述

在这里插入图片描述在这里插入图片描述

在这里插入图片描述

使用数据库插件监听
在这里插入图片描述
测试有无注点
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

语句执行先后问题

IDEA审计插件FindBugs安装使用

插件安装
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
局限 不能分析jsp

Fortify_SCA代码自动审计神器使用

工具

在这里插入图片描述在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述
and 1=2
在这里插入图片描述在这里插入图片描述
工具直接找到

Ofcms后台SQL注入-全局搜索关键字

在这里插入图片描述
全局查找
在这里插入图片描述

Ofcms后台任意文件上传-功能点测试

在这里插入图片描述在这里插入图片描述
在这里插入图片描述
打开工具先分析，同时人工分析
在这里插入图片描述在这里插入图片描述
跟踪此函数，未被调用，但这个函数写完后存在安全问题
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述在这里插入图片描述
在这里插入图片描述

构造数据包

在这里插入图片描述
create.json触发方法
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
模板资源处抓包

在这里插入图片描述
在这里插入图片描述在这里插入图片描述

  1. 通过 功能点载入代码段后分析
  2. 全局搜索
代码审计——JAVA项目注入上传搜索或插件挖掘
m0_61506558的博客
10-03 923
Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。
代码审计-Java项目审计-SQL注入漏洞
Hacker_doggy的博客
07-18 1330
代码审计必备知识点：1、代码审计开始前准备：环境搭建使用，工具插件安装使用，掌握各种漏洞原理及利用,代码开发类知识点。2、代码审计前信息收集：审计目标的程序名，版本，当前环境(系统,中间件,脚本语言等信息),各种插件等。3、代码审计挖掘漏洞根本：可控变量及特定函数，不存在过滤或过滤不严谨可以绕过导致的安全漏洞。4、代码审计展开计划：审计项目漏洞原理->审计思路->完整源码->应用框架->验证并利用漏洞。代码审计两种方法：功能点或关键字分析可能存在的漏洞。
JAVA代码审计常用漏洞总结
12-11
主要代码审计方法是跟踪用户输入数据和敏感函数参数回溯： 跟踪用户的输入数据，判断数据进入的每一个代码逻辑是否有可利用的点，此处的代码逻辑 可以是一个函数，或者是条小小的条件判断语句。 敏感函数参数回溯，根据敏感函数，逆向追踪参数传递的过程。这个方法是最高效，最常用 的方法。大多数漏洞的产生是因为函数的使用不当导致的，只要找到这些函数，就能够快速挖掘想要的漏洞。
小迪渗透&代码审计（柒）
weixin_41665162的博客
10-22 1828
文章目录50. PHP无框架项目SQL注入挖掘技巧(50-57)演示案例：技巧分析：51. PHP框架MVC类上传断点调试挖掘演示案例涉及资源52. PHP项目类RCEA及文件包含下载删除漏洞关键字：通用关键字：演示案例：53. TP5框架及无框架覆盖反序列化漏洞关键字：通用关键字：演示案例：变量覆盖配合文件包含实现任意文件包含反序列化Thinkphp5 简要知识点涉及资源54 TP5框架审计写法分析及代码追踪演示案例：涉及资源： 50. PHP无框架项目SQL注入挖掘技巧(50-57) 代码审计教学计划
java上传文件的要点_原创干货 | Java代码审计之任意文件上传
weixin_30884743的博客
02-24 709
文件上传原理常见的上传流程如下：表单提交->二进制编码->Servlet中使用二进制流获取内容。通过为表单元素设置Method=“post”enctype=”multipart/form-data”属性，让表单提交的数据以二进制编码的方式提交，在接受此请求的Servlet中用二进制流来获取内容，就可以获得上传文件的内容，从而实现文件上传。multipart/form-data这种编码方...
【代码审计】—JAVA项目注入、上传、插件挖掘
haoaaao的博客
08-06 635
【代码审计】—JAVA项目注入、上传、插件挖掘
55 代码审计-JAVA项目注入上传搜索或插件挖掘
山兔的博客
12-17 1251
这个框架的选用是根据网站自身决定的，常用的框架就那几种，如果网站是专门对数据库进行操作的，就选用ORM型框架，例如MyBatis框架和Hibernate框架；文章显示，会以这三种SpringMVC，Struts2框架，Spring框架，java程序有多个框架，这就是java代码审计为什么难的原因，网站用什么框架，那网站的安全就归那个框架使用，你使用什么框架就遵循它引用的规则，就会应用它自身的过滤器进行拦截，对攻击进行防护，struts2报过安全漏洞，所以框架在引用的时候，会导致源码的安全性问题；
Java 项目注入、上传、搜索及插件挖掘的代码审计
m0_57836225的博客
11-13 744
在 Java 项目开发中，代码审计是保障项目安全和稳定的重要环节。本次审计主要聚焦于四个关键方面：注入攻击防范、文件上传安全、搜索功能安全以及插件相关的安全问题。注入攻击：包括 SQL 注入、命令注入等。攻击者通过在用户输入的地方构造恶意代码，使程序在处理这些输入时执行攻击者预期的恶意操作，例如非法访问数据库、执行系统命令等。文件上传：检查文件上传功能是否存在漏洞，如是否对上传文件的类型、大小进行了合理限制，是否存在路径遍历漏洞，导致攻击者可以上传恶意文件或覆盖重要文件。搜索功能。
Java代码审计漏洞挖掘（入门）
Ms08067安全实验室
11-10 4967
出品｜MS08067实验室（www.ms08067.com）双十一最有意义的事情莫过于是学习一门高级渗透技术了！代码审计属于高级渗透测试服务的一环，顾名思义就是检查源代码中的安全缺陷，检查...
第55天：代码审计-JAVA项目注入上传搜索或插件挖掘1
08-03
在本文中，我们将深入探讨Java项目中的代码审计，特别是关注注入攻击、上传漏洞以及相关的工具使用。这些安全问题在开发过程中不容忽视，因为它们可能导致数据泄露、系统瘫痪甚至整个网络的破坏。 首先，我们来看一...
JAVA代码审计：注入与上传漏洞分析及工具应用
"本文主要介绍了如何进行JAVA项目的代码审计，特别是关于注入攻击、上传漏洞以及插件挖掘的演示。文章涵盖了简易的SQL注入示例、IDEA中的FindBugs插件安装与使用、Fortify SCA代码自动审计工具的介绍，以及在Ofcms...
光伏阵列常见故障仿真模型（Simulink仿真实现）
12-09
光伏阵列常见故障仿真模型（Simulink仿真实现）
基于量化分析的股票市场预测系统.zip
最新发布
12-09
量化交易
基于 PLC 梯形图的四站点呼叫小车（记忆队列 + 先呼先达）实现详解
12-09
基于 PLC 梯形图的四站点呼叫小车（记忆队列 + 先呼先达）实现详解
基于微信小程序的求职招聘系统
12-09
基于微信小程序的求职招聘系统
Python数据分析可视化实战教程：从数据清洗到交互式图表完整源码
12-09
本资源包提供了一个完整的Python数据分析可视化实战项目，涵盖从数据采集、清洗、分析到可视化展示的全流程。通过实际案例，详细讲解如何使用Pandas进行数据处理，Matplotlib和Seaborn绘制静态图表，以及Plotly创建交互式可视化。项目包含完整的源码和数据集，适合数据分析初学者和进阶开发者学习，帮助快速掌握数据可视化核心技能，提升数据分析报告的专业性和表现力。
【无人机技术】核心课程与实操应用全解析：面向农业植保、航测测绘及电力巡检的复合型人才培养体系设计
12-09
内容概要：本文全面解析了无人机专业（如“无人机应用技术”或“无人驾驶航空器系统工程”）的核心学习内容，围绕“会造、能控、善用”三大目标，系统梳理了六大模块：基础理论（数学、物理、工程与计算机基础）、核心技术（硬件研发与软件操控）、行业应用（农业植保、航拍测绘、电力巡检、应急救援、影视航拍）、法规与安全（飞行法规、安全作业、资质认证）、技术实操课程（从基础拆装到综合实战）以及职业素养（团队协作、持续学习、职业规范）。文章还推荐了适合各阶段学习的入门书籍，并构建了“理论—技术—应用—素养”一体化的核心课程体系，突出实践教学与岗位对接。; 适合人群：具备一定理工科基础，对无人机研发、操控或行业应用感兴趣的大中专及本科学生，以及计划从事无人机相关职业的初学者。; 使用场景及目标：①帮助学习者系统掌握无人机专业的知识架构与技能路径；②指导院校或培训机构设计课程体系；③为学生选择发展方向（如农业、测绘、电力等）提供参考；④辅助备考无人机驾驶员合格证及相关行业资质。; 阅读建议：建议结合文中推荐书籍与课程体系分阶段学习，重视实操训练与项目实践，积极参与实习、竞赛与资质认证，以实现从理论到应用的全面转化。
ACM-ICPC 2001-2010年竞赛真题带解析和例题资料电子书.zip
12-09
ACM-ICPC程序设计大赛竟赛规程知识讲座1.ppt as2-2007-pdf.zip as2-2008-pdf杭州赛区.zip as2-2009-pdf 上海赛区.zip as2-2010-pdf 杭州赛区 .zip as13-2007-pdf.zip as13-2008-pdf.zip as13-2009-pdf.zip as14-2008-pdf合肥赛区.zip as14-2009-pdf合肥赛区.zip as14-2010-pdf(福州赛区).zipwfi-2001-pdf.zipwfi-2004-pdf.zip wfi-2005-pdf.zipwfi-2008-pdf.zipwfi-2009-pdf 哈尔滨决赛.zip国际大学生程序设计竟赛例题解二319页.pdf 国际大学生程序设计竟赛例题解一304页.pdf
2025-2031全球与中国水性聚氨酯PUD市场现状及未来发展趋势 Sample-zph.pdf
12-09
2025-2031全球与中国水性聚氨酯PUD市场现状及未来发展趋势 Sample-zph.pdf
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值