代码审计之企业级进销存管理系统

---

前言

      企业级进销存管理系统，采用SpringBoot+Shiro+MyBatis+EasyUI编写，Maven构建。源码可访问github自行下载：https://github.com/wangjiangfei/JXC。

---

一、本地项目部署

      1）本文IDEA为2021.3版本，项目下载完解压后为下图所示：

      2）因为该项目是基于SpringBoot系统所开发，所以只需要导入数据库即可。本文项目使用phpstudy开启mysql5.7。

      3）连接数据库。

      4）创建jxc数据库并使用。

      5）将jxc.sql文件导入到 jxc 数据库中，注意使用正斜杠。

      6）使用IDEA打开jxc项目，注意打开的是jxc文件夹不是jxc-master，然后等待Maven自动加载依赖项，如果pom.xml文件有报错，依赖未成功安装，可如下图查看maven配置如何，可能是没有配置好maven环境。
      7）修改application.properties配置文件内容，需注意的是源码的注释就是乱码，所以需要配置utf-8在加注释，而且项目也没有写端口，也需要自行加一下。

      8）启动项目两种方式都可以。


      9）访问项目，本文项目地址为：http://192.168.205.112:25001/login.html，按照说明账号密码为：admin/admin123

二、漏洞挖掘

1.进货入库-备注存在存储型XSS

      1）XSS有框插就完了，所以本文就找这一个就完事了。

      2）在进货单据查询处弹窗。

      3）重复第一步在最后保存时抓包，在代码中通过purchaseListGoods找到映射地址，全局搜索（ctrl+shift+R）主要找带@RequestMapping注解的。

      4）发现是通过@Autowired自动注入获取值然后直接就保存了，自动注入过程中也没有任何过滤和拦截设置。

2.Fortity扫描结果

三、总结

      1）可以先查看pom.xml文件看看都用了什么组件，是否存在漏洞，发现存在shiro-core依赖包，首先想到是否存在默认key，可以查看shiro的配置文件中的拦截器。

      2）若想使用rememberMe功能，shiro Filter必须设置为/** = user，本项目设置为authc了，所以不存在。

      3）在SpringBoot框架中，通常流程是controller层接收前端请求然后调用service层，serveice层的业务逻辑去调用dao访问数据库做增删改查操作，dao在调用sources中的对应的.xml文件做具体的SQL语句，sql语句都是在.xml文件中写的，而不是在Java代码中直接利用connection连接数据库进行查询，这样层次更清晰，代码也更容易维护。因为具体的SQL语句都在.xml文件中，所以可以在.xml文件中搜索 $ 符号，快速寻找是否存在SQL注入漏洞，因为${}拼接符，字符串是原样拼接的，本文中的项目所使用的的都是#{}占位符不存在SQL注入。