shiro安全框架扩展教程--如何防止可执行文件的入侵攻击

最新推荐文章于 2024-05-16 09:40:03 发布

小丑哥_V5

最新推荐文章于 2024-05-16 09:40:03 发布

阅读量8.4k

点赞数

分类专栏： shiro spring security3 spring java java web 文章标签： shiro 安全开源框架 javaee

本文链接：https://blog.csdn.net/shadowsick/article/details/41218617

版权

本文介绍了一种使用Shiro框架来防止可执行文件上传后被利用进行入侵攻击的方法。通过设置过滤器，当检测到黑名单中的文件类型时，记录相关信息，从而为系统增加一道防线。

摘要由CSDN通过智能技术生成

前面的教程有一章是讲解如何突破上传的,当被人通过上传功能突破的防线那就杯具了,有点hack知识的人都知道,很多攻击都是优先寻找上传的功能,因为能突破

就会剩下很多的功夫,比如hack上传了一个asp,php或者jsp文件,然后通过抓包路径获取了文件存放地址,然后直接请求就能通过这个可执行的文件获取到数据库的信息,

或者是遍历目录下载文件,寻找文件中的其他漏洞以获得更高的权限,下面我就演示下简单的防范手段,就算被突破了上传也会有下一堵墙在一定程度上防止执行脚本

我主要是使用shiro写了一个filter过滤需要请求信息,如遇到黑名单则记录信息,看下面贴的代码

package com.silvery.security.shiro.filter;

import java.text.SimpleDateFormat;
import java.util.Date;

import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

import org.apache.shiro.web.filter.authz.AuthorizationFilter;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

import com.silvery.utils.PatternUtils;
import com.silvery.utils.WebUtils;

/**
 * 
 * 黑名单可执行程序请求过滤器
 * 
 * @author shadow
 * 
 */
public class SimpleExecutiveFilter extends AuthorizationFilter {

	protected static final String[] blackUrlPathPattern =