java代码审计-sql注入
0x01 前言
Java里面常见的数据库连接方式有三种，分别是JDBC，Mybatis，和Hibernate。
0x02 JDBC注入场景
很早之前的Javaweb都是用JDBC的方式连接数据库然后去实现dao接口再调service业务层去实现功能代码
JDBC连接代码
@WebServlet("/demo")
public class domain extends HttpServlet {
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
System.out.println("get访问");
String id = req.getParameter("id");
Connection conn = null;
try {
Class.forName("com.mysql.jdbc.Driver");
conn = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/demo", "root", "root");
String sql = "select * from users where id = '"+id+"' ";
Statement statement = conn.createStatement();
ResultSet resultSet = statement.executeQuery(sql);
} catch (ClassNotFoundException | SQLException e) {
e.printStackTrace();
}
}
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
this.doGet(req,resp);
}
}
这里使用statement对象去执行sql语句然后采用拼接的语法会造成get型sql注入，其它类型注入方法：
POST型注入：
String sql = "select * from users where username = '"+username+"' and password = '"+password+"' ";
Like型注入：
String name = req.getParameter("name");
String sql = "select * from users where name like '%'+name+'%'";
//String sql = "select * from users where name like '%" + name + "%'";
Header注入：
String referer = req.getHeader("referer");
String sql = "update user set referer ='"+referer+"'";
JDBC 预编译
预编译的定义其实就是使用问号先来占位，后面再传入具体的值。
后面传值的时候，程序会把传入的参数，自动转换为spring类型的字符，并不会拼接成sql语句生效。
预处理会自动过滤 ' 等敏感字符然后进行转义(Like\order by 预处理会报错需要在setstring方法设置%%)
Connection conn = JDBCUtils.getConnection();
String sql = "select * from users where username = ? and password = ?";
PreparedStatement pstmt = conn.prepareStatement(sql); //使用预编译传入sql语句
pstmt.setString(1,username); //设置第一个参数为username
pstmt.setString(2,password); //设置第二个参数为password
pstmt.executeQuery();
0x03 Mybatis注入场景
Mybatis获取值的方式有两种，分别是 ${} 和 #{}
#{}:解析的是占位符问号，可以防止SQL注入，使用了预编译${}:直接获取值，采用拼接的方式
因为like、order by直接使用#{}预编译会进行sql报错，所以开发人员在使用${}不当后会造成like注入和oder by注入，Mybatis中常见的注入场景为以下三种：
- ${}
- like 使用 ${}
- order by 使用 ${}
1. Get注入
靶场使用了Mybatis框架，首先在Mapper文件中查找到sql语句使用了 ${} 的写法，在Mybatis中 ${} 为拼接的方式构造sql语句
跟进findByUserNameVuln01函数到controller层找到漏洞触发URI, 并且未对sql语句进行过滤造成sql注入
观察URI上一层还有/sqli路径，所以漏洞触发URI为/sqli/mybatis/vuln01
字符型注入，构造闭合，构造sql语句为
select * from users where username = 'xxx' or '1' = '1'
http://localhost/sqli/mybatis/vuln01?username=xxx' or '1'='1
where后语句恒为真所以执行了select * from users即查询了所有用户的信息
2. Like注入
以上是采用注解的方式写sql语句，Mybaitis中还有一种是用配置xml的方式，在mapper下找到UserMapper.xml
可以看到findByUserNameVuln02、findByUserNameVsec02两个方法都是以这种方式配置的sql语句，在Mapper中跟进findByUserNameVuln02方法
得到URI为/mybatis/vuln02
观察XML中sql为like型注入且使用了 ${}
like注入, like模糊查询语法 %xxx% , %23 为 # 注释掉后边的 %
http://localhost/sqli/mybatis/vuln02?username=xxx' or '1'='1' %23
出数据
修复方式,使用mysql函数concat()先预编译再进行拼接%字符进行模糊查询
select * from users where username like concat('%',#{_parameter}, '%')
3. Order by 注入
controller中找到此方法,用户传入sort值并赋值给String sort
在mapper中又把sort值赋给order
在xml配置文件中观察findByUserNameVuln03使用order by排序方法构造sql语句,可以看到如果order值不为空走进排序查询语句
构造payload
http://localhost:8080/sqli/mybatis/orderby/vuln03?sort=1 desc%23
desc倒序执行sql语句进行排序
asc正序执行sql语句进行排序
修复方式
使用sqlFilter方法对传入的值进行过滤
@GetMapping("/mybatis/orderby/sec04")
public List<User> mybatisOrderBySec04(@RequestParam("sort") String sort) {
String filter_order = SecurityUtil.sqlFilter(sort);
return userMapper.findByUserNameVuln03(filter_order);
}
}
4. In 注入
使用预编译 #{} 的代码会报错所以使用以下 ${} 方式会造成注入
Select * from news where id in (${id})
0x04 Hibernate
@Autowired CategoryDAO categoryDAO; //依赖注入
@RequestMapping("/hibernate")
public String hibernate(@RequestParam(name = "id")
int id) {
Category category = categoryDAO.getOne(id);
return category.getName();
}
hibernate即我们经常使用的orm的一种实现，如果使用已封装好的
方法，那么默认是使用预编译的。需要注意的有这么几种情况：
- 对于一些复杂的sql语句，需要开发手写sql，此时要严格过滤用
户输入 - 上面提到的预编译不生效的几种场景同Mybatis一样
0x05 总结
存在问题的关键词：
Mybatis: $
JDBC连接方式下: +、like、order by
hibernate: +、like、order by
