目录遍历访问控制 XSS 等
前言
本次直播注重代码分析,熟悉 javaweb 开发结构,掌握 javaweb 代码审计流程,其次才是相关漏洞解释(因前期漏洞原理已基本讲解完毕),通过本次直播大家务必学会分析相关代码路径,结构,框架等知识点。
常规漏洞
文件上传配合目录遍历覆盖文件自定义文件存储地址-基于用户名存储问题
#代码解析及框架源码追踪:
第一关:
Payload:…/x
第二关:
Payload:…//x
Javaweb代码分析-目录遍历安全问题
点击头像,上传文件抓包
根据路径找到源码
上传文件默认存储路径
将文件名称修改添加…/ ,成功
重复之前步骤,找到源码,和文件的存储路径
源码新增了过滤一项
因为这段代码不是递归代码,所以可以重叠绕过
成功。
不安全登录InsecureLogin-基于前端认证
#熟悉代码结构及硕源代码文件
Javaweb代码分析-前端验证安全问题
登录subit抓包
点击log in抓包,出现账号信息,黑盒情况下
白盒,找到源码,前端验证需要找html前端代码
前端代码
打开js文件,数据16进制解析后就是账号密码
访问控制对象-逻辑越权
#代码分析过关逻辑
枚举用户参数对应数据库的其他数据信息
role,userid
通过参数值构造URL获取用户更多的信息
WebGoat/IDOR/profile/2342384
Javaweb代码分析-逻辑越权安全问题
登录,点击回显信息
此关目的就是显示更多信息。
通过抓包找到源码
找第四关代码
XSS跨站
代码分析结合页面解释过关
Javaweb代码分析-XSS跨站安全问题
抓包找到对应代码
抓包找源码
核心知识点:Java代码分析===Apk_App分析
模块引用(框架,自带等),路由地址,静态文件(html.js等),简易代码理解等
拓展-安卓 APP 反编译 JAVA 代码(审计不香吗?)
工具
加载文件此文件,classes.jar打不开右键