企业通用报表平台代码审计

1 第三方组件漏洞审计

本项目是基于Maven构建的。对于Maven项目，我们首先从 pom.xml 文件开始审计引入的第三方组件是

否存在漏洞版本，然后进一步验证该组件是否存在漏洞点。

本项目引入的组件以及组件版本整理如下。

组件名称	组件版本
SpringBoot	2.2.4.RELEASE
Fastjson	1.2.60
xxl-job-core	2.1.2
junit	4.12
commons-lang3	3.7
presto-jdbc	0.225
druid	1.1.17
mybatis	2.1.1

2 sql注入代码审计

2.1 代码审计

本项目使用了Mybatis，来定义SQL。我们主要查看Myabatis中 xxxMapper.xml 文件中是否存在使用$ 拼接SQL语句的情况。使用 $ 是直接拼接SQL语句的，未进行转义。

直接搜索${ 符号

可以发现在src/main/resources/mybatis-mapper/mysql/IgReportMapper.xml中，有一个未预处理的sql

之后往上追到dao层，com/lyl/igreport/dao/mysql/IgReportDao.java，可以发现queryMysql()方法

继续追到Service层，com/lyl/igreport/service/impl/CommonReportServiceImpl.java可以发现在36行通过@Autowired给mysqlDao自动注入，最后在(queryDataSourceData方法内)55行进行调用dao层中的queryMysql()方法。