Java路径操纵漏洞示例与解决赏析之一

示例代码

	public static List<File> findClassesInPackage(String codePath,String packageName, boolean recursive) {
        List<File> classFiles = new ArrayList<>();
        String packagePath = packageName.replace('.', '/');
        File directory = new File(codePath + "/"+packagePath);
        if (directory.exists() && directory.isDirectory()) {
            // 递归搜索目录和子目录
            //findClassesInDirectory(directory, packageName, recursive, classFiles);
        }
        return classFiles;
    }

这段代码的作用是用于查找路径下 ，某个包的所有类文件。
这里涉及到文件系统的操作，因此可能存在路径遍历（也称为目录遍历）漏洞。这类漏洞使得攻击者通过修改路径输入（例如包含 .. 之类的序列），访问不应被访问的文件系统目录