安全检测之Directory traversal in Spring framework

最新推荐文章于 2023-09-11 13:51:28 发布
最新推荐文章于 2023-09-11 13:51:28 发布
阅读量6.6k 收藏 3
点赞数
CC 4.0 BY-SA版权
分类专栏： Spring 文章标签： spring framework mvc
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_25630325/article/details/74171302
本文解决Spring MVC中静态文件如CSS、JS等访问问题。原配置导致mapping失效，通过使用<mvc:default-servlet-handler/>交由默认servlet处理解决了问题。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

Directory traversal in Spring framework

提示CSS、JS 等静态文件有问题需要提升Spring的版本问题，根据官方问题解释4.1.x必须升级到4.1.2及以上版本，但是升级无效。

安全检测问题图片

查看Spring MVC的xml配置,发现静态资源配置方案有问题。
原代码写法如下：

<mvc:resources mapping="/common/**" location="/common/" cache-period="31536000" />
<mvc:resources mapping="/static/**" location="/static/" cache-period="31536000" />

解决方案：

对静态资源文件的访问， 将无法mapping到Controller的path交给default servlet handler处理
<mvc:default-servlet-handler />

Spring Framework存在目录遍历漏洞(CVE-2024-38819)
缘梦未来的博客
12-17 1054
Spring Framework 是一个功能强大的 Java 应用程序框架，旨在提供高效且可扩展的开发环境。它结合了轻量级的容器和依赖注入功能，提供了一种使用 POJO 进行容器配置和面向切面的编程的简单方法，以及一组用于AOP的模块。
Web安全之文件上传漏洞和案例示范
J老熊
09-09 1641
在Web应用程序中，文件上传功能广泛应用，特别是在电商交易系统中，用户上传商品图片、订单文件等操作十分常见。然而，文件上传功能若未被妥善处理，将成为攻击者利用的突破口。本文将以电商交易系统为例，深入分析文件上传过程中的常见安全漏洞，提供相应的解决方案。
Directory traversal in Spring framework漏洞修复
请恕小僧斗胆，以所谓少林七十二绝技，来会一会中原各路英雄
08-20 613
Directory traversal in Spring framework 提示CSS、JS 等静态文件有问题需要提升Spring的版本问题，根据官方问题解释4.1.x必须升级到4.1.2及以上版本，但是升级无效。 查看Spring MVC的xml配置,发现静态资源配置方案有问题。 原代码写法如下： <mvc:resources mapping="/common/" location="/common/" cache-period=“31536000” /> <mvc:resource
【常见Web应用安全问题】---4、Directory traversal
weixin_34331102的博客
12-22 383
Web应用程序的安全性问题依其存在的形势划分，种类繁多，这里不准备介绍所有的，只介绍常见的一些。  常见Web应用安全问题安全性问题的列表： 　　１、跨站脚本攻击(CSS or XSS, Cross Site Scripting) 　　２、SQL注入攻击(SQL injection) 　　３、远程命令执行(Code execution，个人觉得译成代码执行并不确...
Directory traversal in Spring framework漏洞
weixin_33704591的博客
09-27 2178
如图： 官方解决办法： 升级到建议版本即可。下载地址；
Spring框架中文件目录遍历漏洞 Directory traversal in Spring framework
BearFinn的博客
04-24 3448
Spring框架中文件目录遍历漏洞 Directory traversal in Spring framework 官方给出的描述是Spring框架中报告了一个与静态资源处理相关的目录遍历漏洞。某些URL在使用前未正确加密，使得攻击者能够获取文件系统上的任何文件，这些文件也可用于运行SpringWeb应用程序的进程。 受影响的版本: Spring Framework 3.0.4 to 3.2.11...
3 Directory traversal
(∪.∪ )...zzz的博客
04-28 1192
3 Directory traversal目录遍历攻击 目录3 Directory traversal目录遍历攻击一、What二、通过目录遍历读取任意文件Lab: File path traversal, simple case三、利用文件路径遍历漏洞的常见障碍Lab: File path traversal, traversal sequences blocked with absolute path bypassLab: File path traversal, traversal sequences
Spring 统一资源加载策略（二）
KingdomCoder
01-20 1536
1.统一资源接口的子类结构 WritableResource: 可写资源接口 ByteArrayResource ：二进制数组资源 ClassPathResource：类路径下的资源，资源以相对路径的方式表示 FileSystemResource：文件系统资源，资源以文件系统的方式表示如：D://data/beans.xml ServletContextPathResource：为访问Web容...
目录遍历（Directory traversal）
汗的博客
05-06 5800
笔者burpsuite的在线安全学院的目录遍历学习笔记。限于本人水平，笔记质量不是很高，假如有看到的大佬轻喷，很多地方是Google翻译的。 文章目录什么是目录遍历？通过目录遍历读取任意文件Lab: File path traversal, simple case利用文件路径遍历漏洞的常见障碍Lab: File path traversal, traversal sequences blocked...
bzoj5195 [Usaco2018 Feb]Directory Traversal
Elijahqi
03-05 669
http://www.elijahqi.win/2018/03/05/bzoj5195/ Description 奶牛Bessie令人惊讶地精通计算机。她在牛棚的电脑里用一组文件夹储存了她所有珍贵的文件，比如： bessie/ folder1/ file1 folder2/ file2 folder3/ file3 file4 ...
文件目录遍历程序
12-28
一个简单的使用VC编写关于文件目录的遍历小程序，供学习参考
Spring framework（cve-2010-1622）漏洞利用指南 .docx
11-24
Spring framework（cve-2010-1622）漏洞利用指南 .docx
spring-framework-5.0.5.RELEASE 漏洞修复
04-11
漏洞详情： spring-messaging模块远程代码执行（CVE-2018-1270） STOMP（Simple Text Orientated Messaging Protocol）全称为简单文本定向消息协议，它允许STOMP客户端与任意STOMP消息代理（Broker）进行交互。Spring框架中的spring-messaging模块提供了一种基于WebSocket的STOMP协议实现，STOMP消息代理在处理客户端消息时存在SpEL表达式注入漏洞，因此攻击者可以通过构造恶意的消息来实现远程代码执行。 Windows平台Spring MVC框架目录遍历（CVE-2018-1271） Spring MVC框架支持配置静态资源文件（例如CSS、JS、图片等）访问，当静态文件存储在Windows平台的文件系统时，攻击者可以通过构造一个恶意的URL来实现目录遍历攻击。 Spring框架Multipart内容污染（CVE-2018-1272） 当使用Spring MVC或Spring WebFlux框架的应用收到一个客户端请求，并用它来向另一个服务端发送multipart请求时，攻击者可利用该漏洞往里插入恶意内容。该漏洞的利用有一定的限制，要求攻击者能够猜到multipart字段的boundary值，因此影响较低。
实例226——实现遍历目录下的每个文件
05-27
实例226——实现遍历目录下的每个文件，保证可用。
【翻译】PayloadsAllTheThings——目录遍历 （Directory Traversal）
shilela19990628的博客
12-14 886
目录和路径穿越存在于利用对用户提供的输入文件名缺乏安全验证/清扫，导致表示“遍历父目录”的字符被传递到文件api的情况。
html2ps,html2ps 'include file' Server Side Include Directive Directory Traversal Vulnerability
weixin_32267129的博客
07-03 174
#!/usr/bin/env python## html2ps <= 1.0 beta5 arbitrary file disclosure# http://user.it.uu.se/~jan/html2ps.html# author: epiphant <epiphant.0@gmail.com>## the "include file" ssi directive does...
Web for pentester_writeup之Directory traversal篇
ditanji3425的博客
08-08 455
Web for pentester_writeup之Directory traversal篇 Directory traversal（目录遍历） 目录遍历漏洞，这部分有三个例子，直接查看源代码 Example 1 <1>测试输入./，停留在本目录 <2>测试输入../，发现目录切换，猜测是返回上级目录 直接溯源到根目录测试是否可以访问/etc/passwd...
luogu4268 Directory Traversal (dfs)
weixin_30263277的博客
09-08 108
题意：给一个树状的文件结构，让你求从某个文件夹出发访问到所有文件，访问路径字符串长度之和的最小值，其中，访问父节点用..表示，两级之间用/分割 做两次dfs，第一次算DownN[x]和DownS[x]，分别代表从x/访问到它子树中的文件个数和长度之和 第二次算UpN[x]和UpS[x]，分别代表从x/访问到不在它子树中（也就是要先往上走）的文件个数和长度之和。 最后某个点的答案就是DownS...
目录遍历/穿越漏洞（Directory traversal），以及常见的payload
嗯哼~~~
09-11 2785
...//....//....//etc/passwd（嵌套../，防御机制会过滤../，但只能过滤一遍，过滤完还剩../../../etc/passwd）filename=../../../etc/passwd%00.png（要求符合的文件扩展名，%00为NULL，找文件时NULL后面的.png会被忽略）/var/www/images/../../../etc/passwd（要求指定根目录）../../../etc/passwd（无防御时）下面这个图是做了防御，但是防御的不好。
若依框架下载文件
最新发布
07-16
在若依框架（RuoYi Framework）中实现文件下载功能，通常涉及后端控制器的接口设计、文件流的处理以及前端页面的调用逻辑。以下是具体的实现步骤和示例代码。 ### 后端实现 #### 1. 创建文件下载接口 在控制器类中添加一个方法，用于处理文件下载请求。该方法需要读取服务器上的文件，并通过 `HttpServletResponse` 将文件内容以流的形式返回给客户端。 ```java import org.springframework.web.bind.annotation.GetMapping; import org.springframework.web.bind.annotation.RequestMapping; import org.springframework.web.bind.annotation.RestController; import javax.servlet.http.HttpServletResponse; import java.io.File; import java.io.FileInputStream; import java.io.OutputStream; @RestController @RequestMapping("/file") public class FileDownloadController { @GetMapping("/download") public void downloadFile(HttpServletResponse response) { String filePath = "/path/to/your/file.txt"; // 文件在服务器上的实际路径 File file = new File(filePath); if (!file.exists()) { try { response.sendError(HttpServletResponse.SC_NOT_FOUND, "File not found"); } catch (IOException e) { e.printStackTrace(); } return; } response.setContentType("application/octet-stream"); response.setHeader("Content-Disposition", "attachment; filename=\"" + file.getName() + "\""); try (FileInputStream fis = new FileInputStream(file); OutputStream os = response.getOutputStream()) { byte[] buffer = new byte[4096]; int bytesRead; while ((bytesRead = fis.read(buffer)) != -1) { os.write(buffer, 2, bytesRead); } } catch (Exception e) { e.printStackTrace(); } } } ``` #### 2. 配置文件存储路径 确保在应用配置文件（如 `application.yml` 或 `application.properties`）中设置文件存储路径，或者直接硬编码在代码中。推荐使用配置方式以便灵活调整： ```yaml file: upload-dir: /path/to/upload/directory ``` 然后可以通过 `@Value` 注入配置值： ```java @Value("${file.upload-dir}") private String uploadDir; ``` ### 前端实现 在 Vue.js 中，可以通过 `axios` 发起 GET 请求并触发浏览器下载行为。需要注意的是，`axios` 默认会将响应数据解析为 JSON，因此需要设置 `responseType: 'blob'` 来正确接收二进制文件流。 ```javascript export default { methods: { async downloadFile() { try { const response = await axios.get('/file/download', { responseType: 'blob' // 必须设置为 blob 类型以接收文件流 }); const url = window.URL.createObjectURL(new Blob([response.data])); const link = document.createElement('a'); link.href = url; link.setAttribute('download', 'file.txt'); // 设置下载文件名 document.body.appendChild(link); link.click(); link.remove(); } catch (error) { console.error('文件下载失败:', error); } } } } ``` ### 安全性考虑 - **权限控制**：确保只有授权用户才能访问特定文件。 - **路径校验**：防止路径穿越攻击（Path Traversal），例如用户输入 `../../etc/passwd`。 - **文件类型限制**：限制可下载的文件类型，避免敏感文件被下载。 - **日志记录**：记录文件下载行为，便于审计与追踪。 ### 跨域问题处理 如果前端与后端部署在不同的域名或端口上，可能会遇到跨域问题。可以在 Spring Boot 应用中启用全局 CORS 支持： ```java @Configuration public class CorsConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/file/**") .allowedOrigins("*") .allowedMethods("GET", "POST", "PUT", "DELETE") .allowedHeaders("*"); } } ``` ### 总结 以上步骤展示了如何在若依框架中实现文件下载功能。从后端的文件流处理到前端的下载触发机制，均提供了完整的实现方案，并结合了安全性建议和跨域问题的解决策略。 ---
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值