搜索

[12374] 2018-02-18_某租车系统JAVA代码审计

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-02-18_某租车系统JAVA代码审计 某 租 车 系 统 J A V A 代 码 审 计 A D o g   F r e e B u f   2 0 1 8 - 0 2 - 1 8 * 本 文 原 创 作 者 ： A D o g ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   前 言 前 言 由 于 开 源 的 由 于 开 源 的 J A V A   W E B 项 目 不 是 很 多 ， 这 里 找 到 一 个 没 有 用 项 目 不 是 很 多 ， 这 里 找 到 一 个 没 有 用 s t r u c t 2 或 是 或 是 s p r i n g 框 架 的 框 架 的 c m s ， 希 望 借 此 ， 希 望 借 此 c m s 来 帮 助 来 帮 助 新 手 敲 开 新 手 敲 开 J A V A 代 码 审 计 的 大 门 ， 文 章 会 详 细 写 一 些 笔 者 进 行 审 计 过 程 走 过 的 路 ， 漏 洞 利 用 过 程 并 不 是 多 高 深 ， 代 码 审 计 的 大 门 ， 文 章 会 详 细 写 一 些 笔 者 进 行 审 计 过 程 走 过 的 路 ， 漏 洞 利 用 过 程 并 不 是 多 高 深 ， 大 牛 可 以 绕 过 ， 此 篇 权 当 抛 砖 引 玉 大 牛 可 以 绕 过 ， 此 篇 权 当 抛 砖 引 玉 ~ 0 x 0 0   c m s 简 介 简 介 系 统 基 于 租 车 业 务 场 景 而 搭 建 的 O 2 O 服 务 平 台 ， 可 为 用 户 提 供 商 务 租 车 、 接 送 机 、 旅 游 租 车 、 企 业 租 车 、 自 驾 租 车 、 婚 庆 用 车 等 自 助 租 车 服 务 。 系 统 包 含 车 辆 库 管 理 、 门 店 管 理 、 员 工 管 理 、 司 机 管 理 、 订 单 管 理 、 活 动 管 理 、 评 价 管 理 、 财 务 管 理 、 统 计 等 。 c m s 的 下 载 地 址 ： h t t p : / / d o w n . a d m i n 5 . c o m / j s p / 1 3 5 5 0 1 . h t m l 下 载 完 讲 一 下 安 装 这 块 ， 笔 者 的 环 境 使 用 是 t o m c a t 8 . 5 + p h p m y s t u d y ， t o m c a t 8 . 5 部 署 w e b 这 个 就 不 多 说 了 ， 多 百 度 百 度 自 然 就 会 了 ， 这 里 的 p h p m y s t u d y 主 要 是 需 要 使 用 到 其 中 的 m y s q l 数 据 库 ， 单 独 开 启 m y s q l 数 据 库 也 行 ~ 这 里 下 载 完 有 一 个 使 用 说 明 ， 对 整 个 安 装 流 程 介 绍 的 还 是 非 常 详 细 的 ， 这 里 不 再 赘 述 ~ 0 x 0 1   c m s 功 能 整 理 功 能 整 理
这 是 网 站 首 页 ， 然 后 我 们 来 进 行 一 个 功 能 上 的 浏 览 与 汇 总 ， 这 里 可 能 是 习 惯 问 题 ， 笔 者 在 做 代 码 审 计 的 时 候 一 般 不 会 先 看 代 码 ， 而 是 根 据 功 能 点 去 进 行 一 个 代 码 的 回 溯 ， 这 样 做 会 减 少 大 量 的 代 码 审 计 时 间 ， 但 是 缺 点 就 是 一 些 不 在 显 示 页 面 的 功 能 点 所 存 在 的 漏 洞 可 能 就 会 挖 掘 不 到 ， 这 里 选 择 可 以 因 情 况 而 异 ~ 第 一 个 功 能 点 可 能 就 是 这 个 用 户 的 注 册 功 能 ， 那 用 户 的 注 册 一 般 所 存 在 的 问 题 大 多 为 s q l 注 入 、 x s s 漏 洞 、 逻 辑 漏 洞 、 头 像 处 g e t s h e l l 等 等 ， 顺 着 这 样 的 思 路 去 找 ， 效 率 上 应 该 会 大 大 提 高 。 第 二 个 功 能 点 可 能 就 是 这 个 主 功 能 ： 租 车 服 务 。 但 是 这 里 点 击 “ 立 即 预 定 ” 会 跳 转 到 用 户 界 面 ， 先 放 着 ， 再 看 看 其 他 功 能 点 。 但 是 这 个 c m s 终 究 是 一 个 小 型 的 c m s ， 整 个 功 能 不 是 很 多 ， 其 余 功 能 点 并 未 找 到 ~ 那 么 我 们 来 进 行 汇 总 ！ 审 计 的 时 候 首 先 测 试 用 户 功 能 点 ， 这 里 首 先 是 最 常 见 的 一 些 逻 辑 漏 洞 （ 任 意 密 码 重 置 这 类 ） 、 S Q L 注 入 、 存 储 型 x s s 漏 洞 、 后 台 头 像 g e t s h e l l 、 订 单 遍 历 等 等 ， 之 后 再 测 试 租 车 功 能 ， 看 看 有 无 逻 辑 漏 洞 （ 1 元 购 ） 和 订 单 遍 历 （ 修 改 I D 获 取 其 他 用 户 的 信 息 ） 等 等 ， 整 个 流 程 肯 定 大 抵 就 是 这 样 ， 下 面 进 入 审 计 实 战 ！ 0 x 0 2   c m s 审 计 实 操 审 计 实 操
首 先 有 一 个 获 取 手 机 动 态 码 ， 那 么 这 里 由 于 是 本 地 搭 建 ， 肯 定 发 不 出 去 ， 分 析 一 下 ， 这 里 存 在 的 潜 在 风 险 可 能 就 是 短 信 炸 弹 ， 这 里 看 了 代 码 好 像 并 没 有 加 上 一 些 检 查 机 制 ， 炸 弹 应 该 是 存 在 的 。 这 里 说 下 怎 么 进 行 代 码 的 回 溯 ， 我 是 采 用 的 s e a r c h ， 比 如 说 这 里 的 功 能 点 为 g e t T e l C o d e ， 然 后 到 e c l i p s e 中 去 进 行 全 局 的 搜 索 ， 基 本 不 到 一 分 钟 就 能 定 位 到 代 码 。 由 于 注 册 功 能 不 完 善 ， 这 里 只 能 到 后 台 手 工 添 加 了 一 个 账 号 。
这 里 的 “ 忘 记 登 录 密 码 ” 功 能 被 阉 割 了 ， 依 然 无 法 进 行 测 试 ！ 进 入 到 个 人 中 心 ， 首 先 是 功 能 点 所 引 发 的 潜 在 漏 洞 汇 总 ， 映 入 眼 帘 的 就 是 一 个 基 本 资 料 的 修 改 ： 存 储 型 x s s   O R   S Q L 注 入 ？ ？ 包 括 这 里 的 资 料 修 改 和 收 货 地 址 修 改 其 实 都 存 在 上 述 两 个 问 题 ， ， 这 里 选 择 一 个 进 行 代 码 跟 踪 和 测 试 即 可 ~ 订 单 功 能 ， 会 不 会 出 现 订 单 的 遍 历 ， 那 么 跟 踪 代 码 就 应 该 看 对 订 单 的 I D 有 无 校 验 ？ 优 惠 券 这 里 没 开 放 ， 最 后 就 是 积 分 功 能 ， 那 么 会 不 会 存 在 使 用 积 分 付 费 ， 然 后 由 于 校 验 不 完 整 ， 使 用 负 积 分 付 费 从 而 导 致 积 分 反 增 不 减 这 样 的 漏 洞 出 现 ？ 首 先 测 试 来 修 改 用 户 的 “ 基 本 资 料 ” ， 这 里 可 以 f u z z 一 下 后 台 语 句 ， 可 以 修 改 为 w o a i n i ” < > ， 然 后 看 回 显 ， ， 其 实 就 可 以 大 致 猜 出 后 台 代 码 。
修 改 完 可 以 看 到 没 有 任 何 的 顾 虑 ， 那 么 这 里 的 存 储 型 x s s 石 锤 ！ 虽 然 这 里 是 表 单 ， 但 是 后 台 管 理 员 查 看 用 户 信 息 时 却 不 需 要 闭 合 表 单 ， 因 此 直 接 插 入 x s s 语 句 即 可 ~ 这 里 再 来 找 一 下 源 代 码 ， 看 看 到 底 怎 么 写 的 ！ 可 以 看 到 这 里 都 是 直 接 r e q u e s t 获 得 ， 并 没 有 任 何 过 滤 ， 看 代 码 的 更 大 阴 谋 就 是 看 看 这 里 的 s q l 语 句 怎 么 实 现 的 ， 首 先 我 们 是 登 录 用 户 ， 然 后 姓 名 、 地 址 、 电 话 什 么 的 都 没 输 错 ， 因 此 进 入 最 后 一 个 e l s e 语 句 。 可 以 看 到 这 里 的 s q l 语 句 采 用 的 是 预 编 译 ， 因 此 s q l 注 入 漏 洞 可 能 不 存 在 ， 但 是 预 编 译 最 怕 的 就 是 字 符 串 的 直 接 拼 接 ， 这 里 在 s q l 语 句 里 看 了 全 部 的 s q l 语 句 ， 并 不 存 在 这 样 的 案 例 ， 因 此 s q l 这 条 路 可 能 走 到 底 了 。 不 过 不 用 慌 ， 继 续 审 计 ！ 下 面 来 重 点 关 注 这 个 订 单 功 能 ， 这 是 整 个 c m s 的 核 心 所 在 ！ 这 里 由 于 不 存 在 数 量 这 样 的 参 数 ， 因 此 修 改 数 量 为 负 数 这 样 的 情 况 并 不 存 在 ， 实 际 上 是 从 s e s s i o n 来 获 取 用 户 的 积 分 ， 因 此 积 分 上 应 该 也 不 存 在 漏 洞 ， 最 后 只 能 提 交 订 单 然 后 抓 包 看 参 数 进 行 代 码 溯 源 ~ 这 里 由 于 都 是 通 过 i d 这 样 的 参 数 来 进 行 传 递 ， 那 么 可 以 在 审 计 的 过 程 中 留 意 i d 是 否 判 断 所 属 用 户 ， 也 就 是 越 权 的 问 题 ， 最 重 要 的 可 能 就 是 这 里 的 p r i c e 参 数 有 无 检 查 ！ f l a g = s s . a d d A d d r e s s ( u s e r . g e t I d ( ) ,   n a m e ,   t e l ,   a d d r e s s ) ;       / / 这 里 是 用 来 实 现 s q l 语 句 的 ， 跟 进 ！ - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - * 分 割 线 * - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -         p u b l i c   I n t e g e r   a d d A d d r e s s ( I n t e g e r   u s e r I d ,   S t r i n g   n a m e ,   S t r i n g   t e l ,   S t r i n g   a d d r e s s )   {                 O b j e c t   a r g s [ ]   =   {   n a m e ,   t e l ,   a d d r e s s ,   u s e r I d   } ;                 S t r i n g   s q l   =   " i n s e r t   i n t o   u s e r _ a d d r e s s   ( u s e r _ a d d r e s s _ n a m e , u s e r _ a d d r e s s _ t e l , u s e r _ a d d r e s s _ c o n t e n t , u s e r _ a d d r e s s _ u s e r )   v a l u e s ( ? , ? , ? , ? ) " ;                 S e r i a l i z a b l e   f l a g   =   j d b c . i n s e r t B a c k I d ( s q l ,   a r g s ) ;                                 / * 采 用 预 编 译 * /                 j d b c . c l o s e ( ) ;                 r e t u r n   I n t e g e r . v a l u e O f ( f l a g . h a s h C o d e ( ) ) ;         }
然 后 全 局 搜 索 ， 找 到 可 疑 函 数 ， 确 定 为 添 加 订 单 的 函 数 。 这 里 我 们 需 要 跟 进 这 个 o r d i n a r y _ u s e r ， 到 这 里 p r i c e 这 个 参 数 都 没 有 任 何 过 滤 ， 是 通 过 直 接 r e q u e s t 请 求 获 取 的 。 这 里 就 不 截 取 代 码 了 ， 可 以 明 显 看 到 这 里 的 p r i c e 参 数 依 然 没 有 进 行 任 何 校 验 ， 因 此 到 这 里 我 们 可 以 最 终 判 断 ， 这 个 p r i c e 参 数 可 以 进 行 任 意 修 改 ！ 这 里 修 改 参 数 有 两 种 方 法 ， 第 一 种 就 是 直 接 抓 包 修 改 即 可 ， 因 为 无 任 何 校 验 机 制 ， 所 以 可 行 。 第 二 种 则 是 修 改 页 面 的 表 单 参 数 ， 这 里 后 来 查 看 付 款 源 码 ， 发 现 会 在 页 面 中 h i d d e n 传 过 来 的 参 数 。 这 里 通 过 修 改 页 面 源 码 里 的 v a l u e 值 也 行 ~ p u b l i c   v o i d   a d d G o o d s O r d e r ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   H t t p S e r v l e t R e s p o n s e   r e s p o n s e ) t h r o w s   S e r v l e t E x c e p t i o n , I O E x c e p t i o n {                 r e s p o n s e . s e t C o n t e n t T y p e ( " t e x t / h t m l ; c h a r s e t = U T F - 8 " ) ;                 H t t p S e s s i o n   s e s s i o n   =   r e q u e s t . g e t S e s s i o n ( t r u e ) ;                 O b j e c t   o r d i n a r y _ u s e r = s e s s i o n . g e t A t t r i b u t e ( " o r d i n a r y _ u s e r " ) ;                 S t r i n g   t e m _ s t o r e _ i d = r e q u e s t . g e t P a r a m e t e r ( " s t o r e _ i d " ) ; / / 门 店 i d                 S t r i n g   p r i c e = r e q u e s t . g e t P a r a m e t e r ( " p r i c e " ) ;                 S t r i n g   t e m _ a d d r e s s _ i d = r e q u e s t . g e t P a r a m e t e r ( " a d d r e s s _ i d " ) ;                 S t r i n g   t e m _ g o o d s _ i d [ ] = r e q u e s t . g e t P a r a m e t e r V a l u e s ( " g o o d s _ i d " ) ;                 S t r i n g   c o n t e n t = r e q u e s t . g e t P a r a m e t e r ( " c o n t e n t " ) ;                 S t r i n g   s e r v i c e D a t e = r e q u e s t . g e t P a r a m e t e r ( " s e r v i c e D a t e " ) ;                 I n t e g e r   s t o r e _ i d = n u l l ;                 I n t e g e r   a d d r e s s _ i d = n u l l ;                 I n t e g e r   g o o d s _ i d = n u l l ;                 I n t e g e r   o r d e r _ i d = 0 ;                                         … … … … … 略 去 部 分 代 码 … … … … …                 i f ( o r d i n a r y _ u s e r = = n u l l ) {                         j s o n = " { " t i p " : " 请 登 录 之 后 再 操 作 " , " s t a t u s " : 5 0 0 } " ;                 } e l s e {                         U s e r   u s e r = ( U s e r ) o r d i n a r y _ u s e r ;   / / 这 里 添 加 订 单 信 息                         / / o r d e r _ i d = s s . a d d G o o d s O r d e r ( 2 ,   1 ,   1 ,   1 , s e r v i c e D a t e ,   n u l l ,   c o n t e n t ,   u s e r . g e t I d ( ) , n u l l ,   s t o r e _ i d ,   n u l l ,   p r i c e ,   1 ,   1 ,   a d d r e s s _ i d ,   2 , " 3 " ,   u s e r . g e t I d ( ) . t o S t r i n g ( ) ,   n u l l ,   g o o d s _ i d ,   1 , " " ) ;                         i f ( o r d e r _ i d > 0 ) {                                 i f ( t e m _ g o o d s _ i d . l e n g t h > 0 ) {                                         f o r ( i n t   i = 0 ; i < t e m _ g o o d s _ i d . l e n g t h ; i + + ) {                                                 s s . a d d G o o d s A n d O r d e r ( I n t e g e r . p a r s e I n t ( t e m _ g o o d s _ i d [ i ] ) , o r d e r _ i d ) ;                                         }                                 }                                 j s o n = " { " t i p " : " 操 作 成 功 " , " s t a t u s " : 2 0 0 } " ;                         } e l s e {                                 j s o n = " { " t i p " : " 服 务 器 内 部 错 误 " , " s t a t u s " : 5 0 0 } " ;                         } }
进 入 到 个 人 中 心 ， 这 里 的 订 单 信 息 获 取 是 通 过 s e s s i o n 来 获 取 用 户 ， 因 此 也 就 无 法 获 取 他 人 的 订 单 信 息 。 不 过 这 里 有 几 个 功 能 ， 第 一 个 就 是 取 消 订 单 的 功 能 ， 那 么 对 订 单 编 号 是 否 进 行 了 用 户 归 属 的 检 验 呢 ？ 让 代 码 来 告 诉 我 们 ！ 这 里 会 将 输 入 的 订 单 与 用 户 自 身 的 订 单 号 来 进 行 一 个 匹 配 ， 若 匹 配 成 功 才 会 取 消 订 单 信 息 ， 因 此 这 里 不 存 在 越 权 的 漏 洞 ！ 那 么 前 台 的 代 码 审 计 就 告 一 段 落 ， 后 台 的 代 码 就 先 不 看 了 ~ 这 篇 文 章 重 点 是 讲 解 一 下 笔 者 的 J A V A 代 码 审 计 的 思 路 与 方 法 ， 希 望 抛 砖 引 玉 ， 能 够 有 越 来 越 多 高 质 量 的 J A V A 代 码 审 计 文 章 的 出 现 ~ 上 述 如 有 不 当 之 处 ， 敬 请 指 正 ！ * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： A D o g ， 属 于 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理