代码审计-JAVA项目框架类漏洞分析报告

目录

（一）过滤器及拦截器相关区别解释

过滤器&拦截器区别：

（二）案例2：Struts2-016远程代码执行漏洞分析-黑盒流程

0x01 前置知识

0x02 漏洞介绍

1、查看web.xml可知，所有的.action请求都经过struts2过滤器

2、断点调试，未触发关键字-断点文件-调试到过滤器

 3、断点调试，触发关键字-断点文件-未调试到过滤器

0x03 代码审计

1.获取配置信息

2.打开st2对应过滤器，配合st2路由配置文件，解读

3.payload加上路由关键字进行OGNL表达式接受处理执行

 4.总结审计思路-struts

(三）案例3：SpringBoot-SpELl表达式注入漏洞分析-白盒思路

1、SpEL介绍

2、审计思路

0x01 SpringBoot SpEL表达式注入漏洞-分析与复现：

0x02 sql注入漏洞

 3、总结

---

（一）过滤器及拦截器相关区别解释

---

过滤器&拦截器区别：

• Filter是基于函数回调的，而Interceptor这是基于Java反射的。
• Filter依赖于Servlet容器，而Interceptor不依赖于Servlet容器。
• Filter对几乎所有的请求起作用，而Interceptor只能对action请求起作用。
• Interceptor可以访问Action的上下文，值栈里的对象，而Filter不能。
• 最重要的要记住他们的执行顺序：先Filter后Interceptor，另外在不同框架中有的是自带，有的是需要自写，具体可以查看开发资料。