四十一:JAVA安全-目录遍历访问控制XSS等安全问题
本节注重代码分析,熟悉javaweb开发结构,掌握javaweb代码审计流程,其次才是相关漏洞解释(因前期漏洞原理已基本完毕),通过本节需掌握相关代码路径,结果,框架
文件上传配合目录遍历 覆盖文件自定义文件存储地址-基于用户名存储问题
代码解析及框架源码
第一关:
payload:../x 将文件上传到上级,路径目录权限(可读写,可解析)
第二关:
payload:....//x
不安全登录状态 Insecure Login基于前端认证
熟悉代码结构及读取源代码文件
访问控制对象-逻辑越权
代码分析过关逻辑
枚举用户参数对应数据库的其他数据信息
role,userid
通过参数值构造URL获取用户更多的信息
xss跨站
核心知识点:JAVA代码分析 === APK_APP分析
模块引用(框架,自带),路由地址,静态文件(html,js),简易代码理解