Java代码审计-环境搭建

1、java环境配置

JAVA_HOME

java -version //查看版本，验证是否配置成功

2、docker使用

一款开源的项目，更方便搭建环境

windows下可以用 Docker Desktop

常见docker命令

docker pull image-name //从远程拉取一个镜像，但不会生成一个容器
docker ps [-a]  // 展示当前运行的容器，-a显示所有的
docker images  // 列出本地获取的镜像文件（里面的时间是镜像制作的时间）
docker rmi id //删除镜像
docker stop/start id //停止或启动容器
docker rm id //删除容器
docker exec -it /bin/bash //进入容器内部
docker cp //拷贝文件，既可以把文件拷贝进容器，也可以把文件从容器里拷贝出来
docker cp ./flag.txt 1d:/opt/tomcat //考入文件进容器里
docker cp 1d:/opt/tomcat/tomcat.txt ./ //从容器里拷贝出来

比较重要的一条命令单独列出来

docker run -it -d -p 8080:8080 id/name
// 运行指令，生成一个容器， -i 交互 -t 终端  -d 后台运行  -p 指定端口映射 主句端口：容器的端口 -P 把容器的端口随机的映射到主机的端口

docker-compose的运用

docker-compose up -d //启动docker-compose编写的环境

3、远程调试

构建好环境之后，通过cp语句，将lib文件拷贝出来，添加到配置好远程调试的项目（右键选择 添加文件到库 可以对jar包进行反编译）

配置远程调试的过程

-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005  //java5-8的调试参数

需要注意改启动文件里面的配置

通过复制命令将改好的启动文件复制进去，然后重新启动容器

docker cp ./catalina.sh 41:/usr/local/tomcat/bin/catalina.sh

两天的努力，终于是连接上docker里面的环境

本来用的是tomcat的漏洞环境，添加依赖有点问题，换个shiro的环境进行下面的调试

打断点（行断点），捕获请求

这里的断点有很多中，可以做额外的拓展参考文章

在浏览器里访问端口，模拟登录，可以看到击中断点