如何分析Java Web安全中的程式碼審計

一、JavaWeb 安全基礎

1. 何為程式碼審計?

通俗的說Java程式碼審計就是透過審計Java程式碼來發現Java應用程式本身中存在的安全性問題，由於Java本身就是編譯型語言，所以即便只有class檔案的情況下我們還是可以對Java程式碼進行稽核。對於未編譯的Java原始碼檔案我們可以直接閱讀其原始碼，而對於已編譯的class或jar檔我們就需要進行反編譯了。

Java程式碼審計其本身並無多大難度，只要熟練掌握審計流程和常見的漏洞審計技巧就可比較輕鬆的完成程式碼審計工作了。但是Java程式碼審計的方式絕對不只是使用某款審計工具掃描一下整個Java專案程式碼就可以完事了，一些業務邏輯和程式架構複雜的系統程式碼審計就非常需要審計者掌握一定的Java基礎並且具有一定的審計經驗、技巧甚至是對Java架構有較深入的理解和實踐才能更深入的發現安全問題。

本文將分為多章節來講述Java程式碼審計需要掌握的前置知識以及Java程式碼審計的流程、技巧。

2. 準備環境與輔助工具

在開始Java程式碼稽核前請自行安裝好Java開發環境，建議使用MacOS、Ubuntu作業系統。

所謂“工欲善其事，必先利其器”，合理的使用一些輔助工具可以極大的提供我們的程式碼審計的效率和品質！

強烈建議下列輔助工具：

1.Jetbrains IDEA(IDE)

2.Sublime text(文字編輯器)

3 .JD-GUI(反編譯)

4.Fernflower(反編譯)

5.Bytecode-Viewer

6.Eclipse(IDE)

7.NetBeans(IDE)

二、反編譯技巧

在滲透測試的時候需要審計的程式碼通常是class檔案或jar包，那我們該如何審計呢？讓我們先來學習一下什麼是Java原始碼和字節碼。

1. Java類別編譯與反編譯基礎

簡單的說Java原始碼就是未經編譯的.java文件，我們可以很輕鬆的閱讀其中的程式碼邏輯，而字節碼.class檔案則是.java檔案經過編譯之後產生的字節碼文件，因為.class檔案是編譯後的二進位檔案所以我們是無法直接閱讀的，只能透過反編譯工具將二進位檔案轉換成java程式碼或者ASM代碼。

範例程式碼Test.java:

/**
 * @author yz
 */
public class Test {

	public static void hello() {
		System.out.println("Hello~");
	}

	public void world() {
		System.out.println("World!");
	}

	public static void main(String[] args) {
		hello();
	}

}

Test.java編譯執行流程:

Test.java 原始碼、字節碼

#由於class檔案的可讀性較差，通常我們需要使用Java反編譯工具來反編譯程式碼。我們通常會使用到JD-GUI、IDEA Fernflower插件、Bytecode-Viewer、Fernflower、JAD、JBE、JEB 等工具來反編譯class。 ######其中JD-GUI可能是目前反編譯中使用的最多的工具了，但是個人覺得JD-GUI的反編譯能力遠不如經過IDEA(IDEA應該是使用的改版後的Fernflower)，因為IDEA預設支援對jar和class的反編譯，所以我個人強烈建議使用IDEA來反編譯class程式碼。 ######當然，反編譯工具很多時候也不是萬能的，JD-GUI經常遇到無法反編譯或反編譯過程中程式直接崩潰的情況，遇到這類情況我們通常可以使用IDEA反編譯試試，如果IDEA也無法反編譯可以使用JBE來載入class檔案讀取程式的字節碼，如果JBE仍無法讀取類別資訊還可以使用JDK自帶的javap指令來讀取class類字節碼，如果上訴所有的方法都無法反編譯，那麼恐怕是這個類別本身就存在無法編譯問題要麼可能就是類別檔案被加密處理過。可能你會說java編譯的class不是說不可以加密嗎？沒錯，這裡所說的加密其實是為了保護編譯後的class程式碼不可反編譯，透過實作自訂ClassLoader來loadClass加密後的類別方式而已,這種加密方式曾在實戰中也有遇到。 ######2. 反編譯整個Jar技巧######通常我們在某些​​特殊的場景下拿到的只是jar文件，那麼我們應該如何反編譯整個jar包的class文件呢？ #########2.1. Fernflower#########Fernflower可以很輕鬆的實作 jar的完整反編譯，執行如下指令即可： java -jar fernflower.jar jarToDecompile.jar decomp/其中jarToDecompile.jar是需要反編譯的jar文件，decomp是反編譯後的class文件所存放的目錄。要注意的是Fernflower如遇無法反編譯的情況可能會產生空的java檔！ #########2.2. JD-GUI#########JD-GUI是一個帶有GUI的反編譯工具，在JD-GUI的選單中點選File-->Save All Sources即可反編譯jar。 ###

2.3. IDEA

IDEA默认就支持jar包反编译，同时还支持class文件名(⇧⌘F)、类方法名称(⇧⌘O)搜索。

2.4. Bytecode-Viewer

FernFlower提供了GUI版本Bytecode-Viewer,Bytecode-Viewer提供了直接反编译的class、jar、zip、apk、dex功能，直接拖拽jar就可以直接对整个jar进行反编译了。

2.5. Find命令

find命令并不能支持Java反编译，但是find命令可以非常方便的搜索经过编译后的二进制文件中的内容,所以有的时候使用find命令通常是最简单实用的，直接解压jar包然后使用find命令搜索: find ./ -type f -name “*.class” |xargs grep XXXX 即可搞定。

2.6 使用Find命令和Fernflower实现批量反编译jar

当我们只有项目war包且源码经过打包后发布到WEB-INF/lib的情况下，我们不得不去找出待审计源码的具体jar文件并反编译。遇到这种情况我们可以巧妙的使用find命令来反编译所有目标的jar包。

这里以jcms的一个非常老版本为例,jcms最终给客户部署的war包中源码并不是在WEB-INF/classes目录下，而是将整个jcms系统按模块打包成了多个jar包放在了WEB-INF/lib目录下。我们可以通过搜索com.hanweb包名称来找出所有jar中包含了jcms的文件并通过Fernflower来反编译。

java -jar /Users/yz/Desktop/javaweb-decomplier/javaweb-decomplier.jar -dgs=1 $(find /Users/yz/Desktop/jcms/WEB-INF/lib/ -type f -name "*.jar" |xargs grep "com.hanweb" |awk '{print $3}') /Users/yz/jcms-decomplier

依赖的jar: javaweb-decomplier、Intellij java-decompiler。

执行上面的命令后会在jcms-decomplier目录下看到所有的jar已经被Fernflower反编译了。

3. IntelliJ IDEA 推荐

IntelliJ IDEA是Jetbrains出品的一款非常强大的Java IDE，IDEA提供了强大的代码搜索、近乎完美的反编译、动态调试等功能可以最大程度的辅助我们代码审计。

不可以否认，与IDEA相比虽然Eclipse和Netbeans也有与之类似的功能，但是在真正的实战体验中个人更倾向于使用IDEA，虽然曾经的我也是一个重度Eclipse开发者。

三、IDEA代码搜索技巧

IDEA的搜索快捷键是:⇧⌘F,使用IDEA提供的搜索功能可以非常快速的定位漏洞点信息。

IDEA可以通过自定义搜索范围来精确查找我们需要审计的代码。默认搜索的是所有的位置，不过我们可以点击红色箭头指向的...按钮来细化我们的搜索范围。

1. 自定义范围搜索

自定义搜索范围示例:

自定义搜索范围后就可以在搜索时使用自定义的配置进行范围搜索了，有助于我们在挖漏洞的时候缩小代码定位范围。

2. 标记搜索

搜索快捷键: ⌘O，标记搜索支持类名、方法名搜索（包括class或jar文件中的方法也支持搜索）。

3. Java调用链搜索

当我们审计代码的时候发现某个方法或类有漏洞时我们需要定位到漏洞的请求地址(触发点)，复杂业务系统往往会让我们很难定位到漏洞的触发点。借助IDEA的方法调用链搜索功能就可以很轻松的找出方法的调用链和触发点。

选择类或者方法名-->右键-->Find Useages或者使用快捷键⌥F7

四、Java Web基础

1. Java分层思想

为了更好的管理项目我们通常会采用分层架构的方式来开发Java Web项目，分层设计的好处在于可以非常方便的分清楚包之间的业务逻辑关系。

常见的JavaWeb项目分层：

视图层（View 视图)

控制层（Controller、Action 控制层）

服务层（Service）

业务逻辑层BO(business object)  

实体层（entity 实体对象、VO(value object) 值对象 、模型层（bean）。

持久層（dao- Data Access Object 資料存取層、PO(persistant object) 持久性物件）

基於Java分層架構的範例專案:

#2. Java模組化開發

如今的較為大型的Java Web專案通常都採用了模組化方式開發，借助於Maven、Gradle依賴管理工具，Java可以非常輕鬆的完成模組化開發。除此之外使用OSGi(Open Service Gateway Initiative 可實現模組熱部署)技術開發來Java動態模組化系統也是較常見的。

採用模組化開發也會為我們做程式碼稽核帶來一定的難度，因為需要在更多的依賴函式庫中去尋找需要我們稽核的程式碼。

使用Maven開發的JavaWeb專案範例:

#3. 什麼是Servlet?

Servlet是在Java Web容器上運行的小程式,通常我們用Servlet來處理一些較為複雜的伺服器端的業務邏輯。值得注意的是在Servlet3.0之後(Tomcat7 )可以使用註解方式來設定Servlet了。

基於註解的Servlet

Servlet3.0之前的版本都需要在web.xml中配置，Servlet是兩對標籤，由組成，Spring MVC框架就是基於Servlet技術實現的。

基於設定實作的Servlet

HttpServlet類別

實作一個Servlet很簡單，只需要繼承javax.servlet.http.HttpServlet類別並重寫doXXX方法或service方法就可以了，其中需要注意的是重寫HttpServlet類別的service方法可以取得到上述七種Http請求方法的請求。

4. JSP、Servlet之間的關係

JSP、JSPX檔案是可以直接被Java容器直接解析的動態腳本，jsp和其他腳本語言無異，不但可以用於頁面數據展示，也可以用來處理後端業務邏輯。

本質上來說JSP就是一個Servlet，因為jsp檔案最後會被編譯成class文件，而這個Class文件其實就是一個特殊的Servlet。

JSP檔案會被編譯成一個java類別文件，如index.jsp在Tomcat中Jasper編譯後會產生index_jsp.java和index_jsp.class兩個檔案。而index_jsp.java 繼承於HttpJspBase類，HttpJspBase是一個實作了HttpJspPage介面並繼承了HttpServlet的標準的Servlet，__jspService方法其實是HttpJspPage介面方法，類似Servlet中的service方法，這裡的__jspService方法的HttpService service方法呼叫。

5. 什麼是Filter

Filter是JavaWeb中的過濾器,用來過濾URL請求。透過Filter我們可以實現URL請求資源權限驗證、使用者登陸偵測等功能。 Filter是一個接口，實作一個Filter只需要重寫init、doFilter、destroy方法即可，其中過濾邏輯都在doFilter方法中實作。

Filter和Servlet一樣是Java Web中最為核心的部分，使用Servlet和Filter可以實現後端介面開發和權限控制，當然使用Filter機制也可以實作MVC框架，Struts2實作機制就是使用的Filter 。

Filter的配置類似Servlet，由和兩組標籤組成，如果Servlet版本大於3.0同樣可以用註解的方式來設定Filter。

6. Filter和Servlet的總結

#對於基於Filter和Servlet實作的簡單架構項目，程式碼審計的重心集中在找出所有的Filter分析其過濾規則，找出是否有做全域的安全過濾、敏感的URL位址是否有做權限校驗並嘗試繞過Filter過濾。第二點則是找出所有的Servlet，分析Servlet的業務是否存在安全問題,如果存在安全問題是否可以利用？是否有權限存取？利用時是否被Filter過濾等問題，切勿看到Servlet、JSP中的漏洞點就妄下定論，不要忘了Servlet前面很有可能存在一個全域安全過濾的Filter。

Filter和Servlet都是Java Web提供的API，簡單的總結了下有以下共同點。

  1.Filter和Servlet都需要在web.xml或注解(@WebFilter、@WebServlet)中配置，而且配置方式是非常的相似的；

  2.Filter和Servlet都可以处理来自Http请求的请求，两者都有request、response对象；

  3.Filter和Servlet基础概念不一样，Servlet定义是容器端小程序，用于直接处理后端业务逻辑，而Filter的思想则是实现对Java Web请求资源的拦截过滤；

  4.Filter和Servlet虽然概念上不太一样，但都可以处理Http请求，都可以用来实现MVC控制器(Struts2和Spring框架分别基于Filter和Servlet技术实现的)；

  5.一般来说Filter通常配置在MVC、Servlet和JSP请求前面，常用于后端权限控制、统一的Http请求参数过滤(统一的XSS、SQL注入、Struts2命令执行等攻击检测处理)处理，其核心主要体现在请求过滤上，而Servlet更多的是用来处理后端业务请求上

7. 初识JavaWeb MVC框架

传统的开发存在结构混乱易用性差耦合度高可维护性差等多种问题，为了解决这些毛病分层思想和MVC框架就出现了。MVC即模型(Model)、视图(View)、控制器(Controller)， MVC模式的目的就是实现Web系统的职能分工。

截至2018年底，绝大多数的新项目都已然改为了基于Spring Boot的Spring MVC实现，也就是说曾经站在JavaWeb MVC最巅峰的Struts2框架已经逐渐陨落。

7.1 Spring MVC 控制器

在Spring进入了3.0时代,使用Java注解的方式也逐渐的流行了起来，曾经写一个Spring的控制器我们通常要在xml中声明Spring bean并配置处理的URL，而在新时代的Spring项目中我们通常用Spring MVC注解就可以轻松完成Spring MVC的配置了。

一个基于Spring 注解配置的控制器:

package org.javaweb.codereview.controller;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
@Controller
public class IndexController {
@RequestMapping("/index.php")
public String index() {
return "/index.html";
}
}

Spring Controller注解:

@Controller

@RestController

@RepositoryRestController

Spring MVC请求配置注解:

@RequestMapping

@GetMapping

@PostMapping

@PutMapping

@DeleteMapping

@PatchMapping

Spring MVC除了上述6种Http请求处理注解以外还有Spring Data JPA Rest提供的特殊的@RepositoryRestResource注解，@RepositoryRestResource是基于Spring Data JPA REST库实现的，Spring Data JPA REST提供的API可支持通过JPA查询数据并处理Http请求服务。

基于XML配置的Spring MVC

对于一些老旧的项目可能还保留了一些基于xml配置的方式Spring MVC项目，这里只简单的介绍下如何配置不做过多的描述。基于配置方式的控制器一般是在Controller类中实现了Spring的org.springframework.web.servlet.mvc.Controller接口的handleRequest方法(当然还有其他途径，如:AbstractCommandController和SimpleFormController但都已经过时了)。

TestController.java示例代码:

package org.javaweb.codereview.controller;
import org.springframework.web.servlet.ModelAndView;
import org.springframework.web.servlet.mvc.Controller;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
/**
 * @author yz
 */
public class TestController implements Controller {
@Override
public ModelAndView handleRequest(HttpServletRequest request, HttpServletResponse response) throws Exception {
ModelAndView mv = new ModelAndView();
mv.setViewName("index");
return mv;
}
}

XML配置具体的bean

<bean></bean>

7.2 Struts2控制器

Struts2主要的开发模式是基于xml配置，在struts.xml中配置Action地址和对应的处理类。

不过Struts2(2.1.6版本开始)也可以使用struts2-convention-plugin插件来实现基于注解方式的配置。

需要注意的是Struts2的参数是可以通过get/set方法传入的，如上图TestActionAnnotation类的username变量是可以直接在Http请求中的URL传入的。

7.3 快速找出Http请求请求URL

代码审计中我们可以选择优先从Controller、Servlet和JSP中入手，也可以选择从漏洞点反向推出Http请求的入口地址，这里将讲解下如何快速找到这些请求入口，因为Struts2和Spring MVC的原理比较接近，所以本节只以Spring MVC为例。

7.3.1 查找Spring MVC所有的控制器

如果有源码的情况下可以使用find命令或者IDEA的全局搜索功能即可快速搜索到所有的控制器，如果只有class文件的情况下可以使用find命令:

find ~/cms/ -type f -name "*.class" |xargs grep -E "Controller|@RestController|RepositoryRestController"

7.3.2 查找所有的请求处理URL

查找请求处理URL的方式同理，使用如下find命令查找所有class中的请求处理注解:

find ~/cms/ -type f -name "*.class" |xargs grep -E "RequestMapping|GetMapping|PostMapping|PutMapping|DeleteMapping|PatchMapping|RepositoryRestResource"

7.4 Spring MVC和Struts2控制器小结

这一小节我们只是简单的介绍下Spring MVC和Struts2的控制器，在后面的框架服务章节将会详细介绍。至于如何去快速定位Struts2的action请自行参考Spring MVC的Controller查找方式这里不再讲解。

五、Java语言的动态性

Java语言动态性一直以来都比较差，并不像PHP那样灵活。在Java中的动态性往往需要使用一些曲折的方式来实现.这里简单列举了Java十余种动态性相关技术并总结部分技术实现安全问题。

1.Java反射机制

2.MethodHandle

3.JDK动态代理

4.使用JVM上的动态语言(如:Groovy、JRuby、Jython)

5.表达式库(如:OGNL、MVEL、SpEL、EL)

6.JSP、JSPX、Quercus(Resin容器提供了PHP5支持)

7.字节码库(如:Asm、Javassist、Cglib、BCEL)

8.ScriptEngineManager(脚本引擎)。

9.动态编译(如:JDT、JavaCompiler)

10.ClassLoader、URLClassLoader

11.模版引擎(如:Freemarker、Velocity)

12.序列化、反序列化(包含Java 对象序列化、XML、JSON等)

13.JNI、JNA(Java调用C/C++)

14.OSGi(Open Service Gateway Initiative)

15.RMI(Java远程方法调用,基于对象序列化机制实现)

16.WebService

17.JDWP(Java Platform Debugger Architecture Java调试协议)

18.JMX(Java Management Extensions)

1. Java反射机制特性

Java反射机制可以无视类方法、变量访问权限修饰符，可以调用任何类的任意方法、访问并修改成员变量值。也就是说只要发现一处Java反射调用漏洞几乎就可以为所欲为了。当然前提可能需要你能控制反射的类名、方法名和参数。

一行代码即可实现反射调用Runtime执行本地命令:

Runtime.class.getMethod("exec", String.class).invoke(Runtime.class.getMethod("getRuntime").invoke(null), "whoami")

获取一个类的对象(如Runtime类)我们一般会采用如下几种方式:

  1.Class.forName("java.lang.Runtime")、"".getClass().forName("java.lang.Runtime")

  2.Runtime.class

  3.ClassLoader.getSystemClassLoader().loadClass("java.lang.Runtime")

Java反射获取类方法有两种方式:

  1.getMethod(xxx),getMethods()

  2.getDeclaredMethod(xxx)、getDeclaredMethods()。

区别在于getMethod会返回当前类和父类的所有public方法，而getDeclaredMethod返回的是当前的所有方法。

Java反射获取类成员变量有两种方式:

  1.getField(xxx)、getFields()

  2.getDeclaredField(xxx)、getDeclaredFields()

getField和getDeclaredField区别同上，如果想要调用private修饰的Field或者Method只需要设置下setAccessible为true就可以了，如:xxxMethod.setAccessible(true)。

Java的大部分框架都是采用了反射机制来实现的(如:Spring MVC、ORM框架等)，所以我们不得不掌握Java反射机制来提升我们的代码审计能力。

Java反射机制实现无关键字执行命令

import java.io.InputStream;
import java.lang.reflect.Method;
import java.util.Scanner;
/**
 * @author yz
 */
public class ReflectionTest {
public static void exec() {
try {
System.out.println(Runtime.class.getMethod("exec", String.class).invoke(Runtime.class.getMethod("getRuntime").invoke(null), "curl -i localhost:8000"));
} catch (Exception e) {
e.printStackTrace();
}
}
public static void main(String[] args) {
try {
String str = "whoami";
// java.lang.Runtime
String runtime = new String(new byte[]{106, 97, 118, 97, 46, 108, 97, 110, 103, 46, 82, 117, 110, 116, 105, 109, 101});
// Runtime.class
Class> c = Class.forName(runtime);
// 获取getRuntime方法，Runtime.getRuntime()
Method m1 = c.getMethod(new String(new byte[]{103, 101, 116, 82, 117, 110, 116, 105, 109, 101}));
// 获取Runtime的exec方法，rt.exec(xxx)
Method m2 = c.getMethod(new String(new byte[]{101, 120, 101, 99}), String.class);
// Runtime.getRuntime().exec(str)
Object obj2 = m2.invoke(m1.invoke(null), str);
// 获取命令执行结果Process类的getInputStream()方法
Method m = obj2.getClass().getMethod(new String(new byte[]{103, 101, 116, 73, 110, 112, 117, 116, 83, 116, 114, 101, 97, 109}));
m.setAccessible(true);
// process.getInputStream()
InputStream in = (InputStream) m.invoke(obj2, new Object[]{});
// 输出InputStream内容到
Scanner scanner = new Scanner(in).useDelimiter("\\A");
System.out.println(scanner.hasNext() ? scanner.next() : "");
} catch (Throwable t) {
t.printStackTrace();
}
}
}

2. JDK7+ MethodHandle

JDK7开始Java提供了MethodHandle可以非常方便的访问和调用类方法，MethodHandle的能力和Java反射机制相似，但效率却远高出Java反射机制，但MethodHandle也并不是那么完美的，缺点是MethodHandle必须要求JDK版本大于等于1.7，MethodHandle也无法像反射那样调用私有方法和变量。

参考:通过代码简单介绍JDK 7的MethodHandle，并与.NET的委托对比。

基于MethodHandle实现的调用Runtime执行系统命令

import java.io.InputStream;
import java.lang.invoke.MethodHandle;
import java.lang.invoke.MethodHandles;
import java.lang.invoke.MethodType;
import java.util.Scanner;
/**
 * @author yz
 */
public class MethodHandlesTest {
public static void main(String[] args) {
try {
String               str          = "ping p2j.cn -c 1";
Class                runtimeClass = Runtime.class;
MethodHandles.Lookup lookup       = MethodHandles.lookup();
// Runtime rt = Runtime.getRuntime()
MethodHandle methodHandle = lookup.findStatic(
runtimeClass, "getRuntime", MethodType.methodType(runtimeClass)
);
// 获取Runtime的exec方法
MethodHandle execMethod = lookup.findVirtual(
runtimeClass, "exec", MethodType.methodType(Process.class, new Class[]{
String.class
})
);
// 获取Process的getInputStream方法
MethodHandle inputStreamMethod = lookup.findVirtual(
Process.class, "getInputStream", MethodType.methodType(InputStream.class)
);
// 调用Runtime.getRuntime().exec(xxx).getInputStream()
InputStream in = (InputStream) inputStreamMethod.invoke(
execMethod.invoke(methodHandle.invoke(), str)
);
// 输出InputStream内容到
Scanner scanner = new Scanner(in).useDelimiter("\\A");
System.out.println(scanner.hasNext() ? scanner.next() : "");
} catch (Throwable t) {
t.printStackTrace();
}
}
}

六、Java代码审计-Checklist

通常我喜欢把代码审计的方向分为业务层安全问题、代码实现和服务架构安全问题,。

1. 业务层安全常见问题

业务层的安全问题集中在业务逻辑和越权问题上，我们在代码审计的过程中尽可能的去理解系统的业务流程以便于发现隐藏在业务中的安全问题。

1.1 业务层中常见的安全问题Checklist

1.用户登陆、用户注册、找回密码等功能中密码信息未采用加密算法。

2.用户登陆、用户注册、找回密码等功能中未采用验证码或验证码未做安全刷新(未刷新Session中验证码的值)导致的撞库、密码爆破漏洞。

3.找回密码逻辑问题(如:可直接跳过验证逻辑直接发包修改)。

4.手机、邮箱验证、找回密码等涉及到动态验证码等功能未限制验证码失败次数、验证码有效期、验证码长度过短导致的验证码爆破问题。

5.充值、付款等功能调用了第三方支付系统未正确校验接口(如:1分钱买IPhone X)。

6.后端采用了ORM框架更新操作时因处理不当导致可以更新用户表任意字段(如:用户注册、用户个人资料修改时可以直接创建管理员账号或其他越权修改操作)。

7.后端采用了ORM框架查询数据时因处理不当导致可以接收任何参数导致的越权查询、敏感信息查询等安全问题。

8.用户中心转账、修改个人资料、密码、退出登陆等功能未采用验证码或Token机制导致存在CSRF漏洞。

9.后端服务过于信任前端，重要的参数和业务逻辑只做了前端验证(如:文件上传功能的文件类型只在JS中验证、后端不从Session中获取用户ID、用户名而是直接接收客户端请求的参数导致的越权问题)。

10.用户身份信息认证逻辑问题(如:后台系统自动登陆时直接读取Cookie中的用户名、用户权限不做验证)。

11.重要接口采用ID自增、ID可预测并且云端未验证参数有效性导致的越权访问、信息泄漏问题(如:任意用户订单越权访问)。

12.条件竞争问题，某些关键业务(如:用户转账)不支持并发、分布式部署时不支持锁的操作等。

13.重要接口未限制请求频率，导致短信、邮件、电话、私信等信息轰炸。

14.敏感信息未保护，如Cookie中直接存储用户密码等重要信息。

15.弱加密算法、弱密钥，如勿把Base64当成数据加密方式、重要算法密钥采用弱口令如123456。

16.后端无异常处理机制、未自定义50X错误页面,服务器异常导致敏感信息泄漏(如:数据库信息、网站绝对路径等)。

17.使用DWR框架开发时前后端不分漏洞(如:DWR直接调用数据库信息把用户登陆逻辑直接放到了前端来做)。

2. 代码实现常见问题

代码审计的核心是寻找代码中程序实现的安全问题，通常我们会把代码审计的重心放在SQL注入、文件上传、命令执行、任意文件读写等直接威胁到服务器安全的漏洞上，因为这一类的漏洞杀伤力极大也是最为致命的。

###2.1 代码实现中常见的安全问题Checklist

  1.任意文件读写(文件上传、文件下载)、文件遍历、文件删除、文件重命名等漏洞

  2.SQL注入漏洞

  3.XXE(XML实体注入攻击)

  4.表达式执行(SpEL、OGNL、MVEL2、EL等)

  5.系统命令执行漏洞(ProcessBuilder)

  6.反序列化攻击(ObjectInputStream、JSON、XML等)

  7.Java反射攻击

  8.SSRF攻击

2.1.1 Java 文件名空字节截断漏洞(%00 Null Bytes)

空字节截断漏洞漏洞在诸多编程语言中都存在，究其根本是Java在调用文件系统(C实现)读写文件时导致的漏洞，并不是Java本身的安全问题。不过好在高版本的JDK在处理文件时已经把空字节文件名进行了安全检测处理。

2013年9月10日发布的Java SE 7 Update 40修复了空字节截断这个历史遗留问题。此次更新在java.io.File类中添加了一个isInvalid方法，专门检测文件名中是否包含了空字节。

修复的JDK版本所有跟文件名相关的操作都调用了isInvalid方法检测，防止空字节截断。

修复前(Java SE 7 Update 25)和修复后(Java SE 7 Update 40)的对比会发现Java SE 7 Update 25中的java.io.File类中并未添加\u0000的检测。

受空字节截断影响的JDK版本范围:JDK

参考:

JDK-8014846 : File and other classes in java.io do not handle embedded nulls properly。

维基百科-Java版本歷史

Oracle Java 历史版本下载

2.1.2 测试Java写文件截断测试

测试类FileNullBytes.java:

import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;
/**
 * @author yz
 */
public class FileNullBytes {
public static void main(String[] args) {
try {
String fileName = "/tmp/null-bytes.txt\u0000.jpg";
FileOutputStream fos = new FileOutputStream(new File(fileName));
fos.write("Test".getBytes());
fos.flush();
fos.close();
} catch (IOException e) {
e.printStackTrace();
}
}
}

使用JDK1.7.0.25测试成功截断文件名：

使用JDK1.7.0.80测试写文件截断时抛出java.io.FileNotFoundException: Invalid file path异常:

空字节截断利用场景

Java空字节截断利用场景最常见的利用场景就是文件上传时后端使用了endWith、正则使用如:.(jpg|png|gif)$验证文件名后缀且文件名最终原样保存,同理文件删除(delete)、获取文件路径(getCanonicalPath)、创建文件(createNewFile)、文件重命名(renameTo)等方法也可适用。

空字节截断修复方案

最简单直接的方式就是升级JDK，如果担心升级JDK出现兼容性问题可在文件操作时检测下文件名中是否包含空字节，如JDK的修复方式:fileName.indexOf('\u0000')即可。

2.1.2 任意文件读取漏洞

任意文件读取漏洞即因为没有验证请求的资源文件是否合法导致的，此类漏洞在Java中有着较高的几率出现，任意文件读取漏洞看似很简单，但是在这个问题上翻车的有不乏一些知名的中间件:Weblogic、Tomcat、Resin又或者是主流MVC框架:Spring MVC、Struts2。所以在审计文件读取功能的时候要非常仔细，或许很容易就会有意想不到的收获！

任意文件读取示例代码file-read.jsp:

" + new String(baos.toByteArray()) + "

");     fis.close(); %>

访问file-read.jsp文件即可读取任意文件:http://localhost:8080/file/file-read.jsp?path=/etc/passwd

快速发现这类漏洞得方式其实也是非常简单的，在IDEA中的项目中重点搜下如下文件读取的类。

  1.JDK原始的java.io.FileInputStream类

  2.JDK原始的java.io.RandomAccessFile类

  3.Apache Commons IO提供的org.apache.commons.io.FileUtils类

  4.JDK1.7新增的基于NIO非阻塞异步读取文件的java.nio.channels.AsynchronousFileChannel类。

  5.JDK1.7新增的基于NIO读取文件的java.nio.file.Files类。常用方法如:Files.readAllBytes、Files.readAllLines

如果仍没有什么发现可以搜索一下FileUtil很有可能用户会封装文件操作的工具类。

Java WebSevice

Web Service是一种基于SOAP协议实现的跨语言Web服务调用，在Java中Web Service有如下技术实现:Oracle JWS、Apache Axis1、2、XFire、Apache CXF、JBossWS。

Axis1.4 配置

web.xml配置Axis1.4

配置server-config.wsdd文件注册Web Service服务类和方法:

FileService类，提供了文件读写接口:

使用IDEA创建Web Service项目默认会创建管理Web Service的API:/servlet/AxisServlet、/services、SOAPMonitor、/servlet/AdminServlet，*.jws以及用监控Web Service的端口5001或5101。

访问Web Service的FileService服务加上?wsdl参数可以看到FileService提供的服务方法和具体的参数信息。

使用SOAP-UI调用Web Service接口示例:

需要注意的是Web Service也是可以设置授权认证的,如实现了WS-Security的WSS4J。

使用IDEA根据wsdl生成Web Service客户端代码：

设置wsdl地址、包名:

新建FileServiceTest类测试接口调用:

package org.javaweb.codereview.axis.client;
import java.net.URL;
/**
 * 文件Web Service服务测试
 *
 * @author yz
 */
public class FileServiceTest {
public static void main(String[] args) {
try {
FileServiceService         fileService   = new FileServiceServiceLocator();
URL                        webServiceUrl = new URL("http://localhost:8080/services/FileService");
FileServiceSoapBindingStub soapService   = new FileServiceSoapBindingStub(webServiceUrl, fileService);
String content = soapService.readFile("/etc/passwd");
System.out.println(content);
} catch (Exception e) {
e.printStackTrace();
}
}
}

以上是如何分析Java Web安全中的程式碼審計的詳細內容。更多資訊請關注PHP中文網其他相關文章！