web源码泄露([RoarCTF 2019]Easy Java)

最新推荐文章于 2021-03-30 15:59:43 发布

昂首下楼梯

最新推荐文章于 2021-03-30 15:59:43 发布

阅读量485

点赞数 1

分类专栏：短篇 BUUCTF 文章标签： java php

本文链接：https://blog.csdn.net/qq_42812036/article/details/104280196

版权

本文总结了CTF比赛中的web源码泄露问题，特别是针对[RoarCTF 2019]Easy Java挑战。重点讨论了web.xml文件的重要性，以及如何利用配置不当导致的安全漏洞。通过找到web.xml，推断class文件路径，反编译class以获取网站源码。建议通过修改Nginx配置防止WEB-INF目录被访问，并提供了payload示例。

摘要由CSDN通过智能技术生成

源码泄露

ctf/web源码泄露总结

[RoarCTF 2019]Easy Java
web.xml泄露
先看下web.xml详解
题解：
https://www.cnblogs.com/wangtanzhi/p/12173215.html

WEB-INF是Java的WEB应用的安全目录。如果想在页面中直接访问其中的文件，必须通过web.xml文件对要访问的文件进行相应映射才能访问。WEB-INF主要包含一下文件或目录：

/WEB-INF/web.xml：Web应用程序配置文件，描述了 servlet 和其他的应用组件配置及命名规则。

/WEB-INF/classes/：含了站点所有用的 class 文件，包括 servlet class 和非servlet class，他们不能包含在 .jar文件中

/WEB-INF/lib/：存放web应用需要的各种JAR文件，放置仅在这个应用中要求使用的jar文件,如数据库驱动jar文件

/WEB-INF/src/：源码目录，按照包名结构放置各个java文件。

/WEB-INF/database.properties：数据库配置文件