搜索

[13324] 2018-10-20_某开源博客系统最新版源码审计

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-10-20_某开源博客系统最新版源码审计 某 开 源 博 客 系 统 最 新 版 源 码 审 计 d a v i c h i 8 2 8 2   F r e e B u f   2 0 1 8 - 1 0 - 2 0 0 × 0 0   概 述 概 述 近 期 审 计 一 个 近 期 审 计 一 个 J A V A 开 源 博 客 系 统 开 源 博 客 系 统 m b l o g 2 . 5 最 新 版 ， 整 体 系 统 还 是 很 安 全 的 ， 漏 洞 较 少 ， 传 统 的 问 题 像 最 新 版 ， 整 体 系 统 还 是 很 安 全 的 ， 漏 洞 较 少 ， 传 统 的 问 题 像 X S S 系 统 系 统 使 用 全 局 过 滤 的 方 式 进 行 实 体 化 处 理 ， 上 传 问 题 使 用 白 名 单 校 验 ， 越 权 方 面 限 制 的 也 比 较 死 ， 本 次 审 计 主 要 在 使 用 全 局 过 滤 的 方 式 进 行 实 体 化 处 理 ， 上 传 问 题 使 用 白 名 单 校 验 ， 越 权 方 面 限 制 的 也 比 较 死 ， 本 次 审 计 主 要 在 于 发 现 安 全 问 题 ， 具 体 实 现 页 面 没 有 去 搞 ， 感 兴 趣 的 可 以 自 己 去 具 体 实 现 。 于 发 现 安 全 问 题 ， 具 体 实 现 页 面 没 有 去 搞 ， 感 兴 趣 的 可 以 自 己 去 具 体 实 现 。 0 × 0 1   审 计 思 路 审 计 思 路 下 载 此 源 码 解 压 之 后 发 现 4 0 多 M ， 比 较 大 的 一 个 源 码 了 ， 如 果 遇 到 这 样 比 较 大 的 源 码 ， 可 以 使 用 一 些 辅 助 工 具 去 手 工 审 计 比 如 N o t e p a d + + ， 可 以 快 速 定 位 位 置 和 查 询 一 些 关 键 字 去 审 计 ， 比 较 快 ， 但 是 这 样 去 审 计 可 能 一 些 逻 辑 安 全 问 题 发 现 不 了 ， 但 是 有 利 就 有 弊 ， 这 只 是 代 码 审 计 常 用 方 法 之 一 了 ， 具 体 是 哪 些 关 键 字 比 如 可 以 查 看 所 有 用 户 输 入 的 地 方 ， 会 不 会 结 合 一 些 危 险 函 数 去 执 行 。 比 如 X S S ， 可 以 全 局 搜 索 " r e q u e s t . " 关 键 字 ， 结 果 如 下 ： 我 们 以 红 框 处 举 例 ， 可 以 直 接 双 击 进 入 代 码 位 置 ： 可 以 看 到 直 接 获 取 c o n t e n t 参 数 做 更 新 文 章 操 作 ， 这 里 看 似 有 X S S 风 险 ， 但 是 还 不 能 确 定 ， 可 能 u p d a t e 的 时 候 已 经 做 了 安 全 处 理 ， 这 时 候 可 以 看 此 文 件 有 没 有 i m p o r t 其 他 ， 回 到 顶 部 ：
可 以 看 到 引 入 B a s e C o n t r o l l e r ， 这 里 可 能 含 有 一 些 全 局 基 础 处 理 相 关 的 操 作 包 括 全 局 安 全 过 滤 等 操 作 ， 跟 踪 。 可 以 看 到 B a s e C o n t r o l l e r . j a v a 文 件 含 有 全 局 过 滤 X S S 机 制 ， 经 跟 踪 发 现 是 实 体 化 操 作 ， 这 么 一 来 只 要 是 i m p o r t 这 个 文 件 的 地 方 基 本 不 存 在 X S S 问 题 了 。 0 × 0 2   白 盒 审 计 白 盒 审 计 源 码 信 息 ： m b l o g 2 . 5 站 点 地 址 ：   h t t p s : / / g i t e e . c o m / s z h i r o n g / m b l o g 不 安 全 的 随 机 数 生 成 不 安 全 的 随 机 数 生 成 ( F o r t i f y 常 扫 出 常 扫 出 ) ： ： J A V A 语 言 在 生 成 U R L 或 者 一 些 需 要 加 密 密 钥 等 情 况 下 会 需 要 使 用 随 机 数 ， 随 机 数 会 分 为 统 计 学 和 密 码 学 两 种 ， 统 计 学 输 出 的 数 据 易 猜 测 ， 所 以 需 要 随 机 数 生 成 的 时 候 建 议 使 用 密 码 学 P R N G ， 可 以 通 过 搜 索 r a n d o m ( ) 函 数 判 断 ； 代 码 位 置 ： 此 处 引 入 j a v a . u t i l . R a n d o m 里 的 r a n d o m ( ) 函 数 进 行 随 机 数 生 成 输 出 ， 其 结 果 易 猜 测 ， 所 以 需 要 使 用 j a v a . s e c u r i t y . S e c u r e R a n d o m 提 供 的 S e c u r e R a n d o m ( ) 函 数 代 替 生 成 随 机 数 。 S S R F ： ： s s r f （ 服 务 器 端 请 求 伪 造 漏 洞 ） 即 一 般 在 服 务 器 提 供 从 远 程 服 务 器 获 取 内 容 并 返 回 给 用 户 的 时 候 容 易 发 生 ， 比 如 下 载 图 m b l o g m b l o g - b a s e s r c t e s t j a v a t e s t K e y g e n . j a v a
片 ， 远 程 获 取 图 片 信 息 等 ， 审 计 的 时 候 可 以 重 点 关 注 u r l 请 求 相 关 的 操 作 ， 比 如 常 见 的 u r l . o p e n S t r e a m ( ) ， u r l . o p e n C o n n e c t i o n ( ) 等 函 数 。 代 码 位 置 ： 这 里 是 根 据 U R L 远 程 下 载 的 地 方 ， 但 是 未 对 传 入 的 U R L 做 任 何 过 滤 并 且 输 出 到 o s ， 所 以 存 在 S S R F 问 题 ， 需 要 对 传 入 的 U R L 做 白 名 单 地 址 限 制 和 禁 止 一 些 除 了 h t t p , h t t p s 以 外 的 协 议 ， 比 如 f t p , g o p h e r 协 议 等 。 0 × 0 3   其 他 其 他 除 了 这 些 问 题 之 外 ， 其 他 的 比 如 X X E ， 可 以 去 看 哪 些 解 析 x m l 接 口 ， 有 没 有 禁 止 解 析 外 部 实 体 ， 反 序 列 化 漏 洞 可 以 重 点 看 r e a d O b j e c t ( ) 等 函 数 反 序 列 话 时 候 有 没 有 做 限 制 过 滤 ， 或 者 可 以 直 接 看 那 些 实 现 s e r i a l i z a b l e 接 口 的 类 里 有 没 有 重 写 r e a d O b j e c t ( ) ， r e a d U n s h a r e d ( ) 等 方 法 ， 是 否 存 在 逻 辑 问 题 ， 这 里 审 计 的 时 候 未 发 现 反 序 列 化 相 关 问 题 。 0 × 0 4   总 结 总 结 本 次 审 计 发 现 的 问 题 并 不 多 ， 信 息 泄 露 这 些 就 不 写 了 ， 主 要 是 演 示 如 何 快 速 通 过 搜 索 危 险 函 数 ， 关 键 字 等 来 进 行 审 计 的 方 法 吧 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： d a v i c h i 8 2 8 2 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 m b l o g m b l o g - b a s e s r c m a i n j a v a m b l o g b a s e u t i l s I m a g e U t i l s . j a v a        
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理