Java审计之文件操做漏洞
Java审计之文件操做漏洞篇
0x00 前言
本篇内容打算把Java审计中会遇到的一些文件操做的漏洞，都给叙述一遍。好比一些任意文件上传，文件下载，文件读取，文件删除，这些操做文件的漏洞。html
0x01 文件上传漏洞
RandomAccessFile类上传文件案例：
package com.test;
import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.RandomAccessFile;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
@WebServlet("/FileUploadServlet")
public class domain extends HttpServlet {
private static final long serialVersionUID = 1L;
public void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
InputStream inputStream = request.getInputStream();
String realPath = request.getServletContext().getRealPath("/upload");
System.out.println(realPath);
File tempFile = new File(realPath,"temp.tmp");
if (!tempFile.exists()){
tempFile.createNewFile();
}
FileOutputStream fos = new FileOutputStream(tempFile);
byte[] buffer = new byte[1024];
int len = 0;
while(-1 != (len = inputStream.read(buffer))){
fos.write(buffer, 0, len);
}
RandomAccessFile randomFile = new RandomAccessFile(tempFile, "r");
randomFile.readLine();
String contentDisposition = randomFile.readLine();
String filename = contentDisposition.substring(contentDisposition.indexOf("filename=\""), contentDisposition.lastIndexOf("\""));
filename = filename.replace("filename=\"", "");
// 防止中文乱码
filename = new String(filename.getBytes("ISO-8859-1"),"UTF-8");
System.out.println(filename);
randomFile.seek(0);
long start = 0;
int forth = 1;
while(-1 != (len = randomFile.readByte()) && (forth<=4)){
if(len == '\n'){
start = randomFile.getFilePointer();
forth++;
}
}
fos.close();
inputStream.close();
File saveFile = new File(realPath,filename);
RandomAccessFile randomAccessFile = new RandomAccessFile(saveFile, "rw");
randomFile.seek(randomFile.length());
long endPosition = randomFile.getFilePointer();
int j = 1;
while((endPosition >= 0) && j <= 2){
endPosition --;
randomFile.seek(endPosition);
if(randomFile.readByte() =='\n'){
j++;
}
}
randomFile.seek(start);
long startPoint = randomFile.getFilePointer();
while(startPoint < endPosition-1){
randomAccessFile.write(randomFile.readByte());
startPoint = randomFile.getFilePointer();
}
randomAccessFile.close();
randomFile.close();
tempFile.delete();
System.out.println("文件上传成功");
}
}
这里并无校验任何的文件类型，进行了上传。java
commons-fileupload类上传案例：
package com.test;
import org.apache.commons.fileupload.FileItem;
import org.apache.commons.fileupload.FileUploadException;
import org.apache.commons.fileupload.disk.DiskFileItemFactory;
import org.apache.commons.fileupload.servlet.ServletFileUpload;
import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.RandomAccessFile;
import java.util.List;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
@WebServlet("/FileUploadServlet")
public class domain extends HttpServlet{
@Override
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
//获得上传文件的保存目录，将上传的文件存放于WEB-INF目录下，不容许外界直接访问，保证上传文件的安全
String savePath = this.getServletContext().getRealPath("/WEB-INF/upload");
File file = new File(savePath);
if(!file.exists()&&!file.isDirectory()){
System.out.println("目录或文件不存在！");
file.mkdir();
}
//消息提示
String message = "";
try {
//使用Apache文件上传组件处理文件上传步骤：
//一、建立一个DiskFileItemFactory工厂
DiskFileItemFactory diskFileItemFactory = new DiskFileItemFactory();
//二、建立一个文件上传解析器
ServletFileUpload fileUpload = new ServletFileUpload(diskFileItemFactory);
//解决上传文件名的中文乱码
fileUpload.setHeaderEncoding("UTF-8");
//三、判断提交上来的数据是不是上传表单的数据
if(!fileUpload.isMultipartContent(request)){
//按照传统方式获取数据
return;
}
//四、使用ServletFileUpload解析器解析上传数据，解析结果返回的是一个List<FileItem>集合，每个FileItem对应一个Form表单的输入项
List<FileItem> list = fileUpload.parseRequest(request);
for (FileItem item : list) {
//若是fileitem中封装的是普通输入项的数据
if(item.isFormField()){
String name = item.getFieldName();
//解决普通输入项的数据的中文乱码问题
String value = item.getString("UTF-8");
String value1 = new String(name.getBytes("iso8859-1"),"UTF-8");
System.out.println(name+" "+value);
System.out.println(name+" "+value1);
}else{
//若是fileitem中封装的是上传文件，获得上传的文件名称，
String fileName = item.getName();
System.out.println(fileName);
if(fileName==null||fileName.trim().equals("")){
continue;
}
//注意：不一样的浏览器提交的文件名是不同的，有些浏览器提交上来的文件名是带有路径的，如： c:\a\b\1.txt，而有些只是单纯的文件名，如：1.txt
//处理获取到的上传文件的文件名的路径部分，只保留文件名部分
fileName = fileName.substring(fileName.lastIndexOf(File.separator)+1);
//获取item中的上传文件的输入流
InputStream is = item.getInputStream();
//建立一个文件输出流
FileOutputStream fos = new FileOutputStream(savePath+File.separator+fileName);
//建立一个缓冲区
byte buffer[] = new byte[1024];
//判断输入流中的数据是否已经读完的标识
int length = 0;
//循环将输入流读入到缓冲区当中，(len=in.read(buffer))>0就表示in里面还有数据
while((length = is.read(buffer))>0){
//使用FileOutputStream输出流将缓冲区的数据写入到指定的目录(savePath + "\\" + filename)当中
fos.write(buffer, 0, length);
}
//关闭输入流
is.close();
//关闭输出流
fos.close();
//删除处理文件上传时生成的临时文件
item.delete();
message = "文件上传成功";
}
}
} catch (FileUploadException e) {
// TODO Auto-generated catch block
e.printStackTrace();
message = "文件上传失败";
}
request.setAttribute("message",message);
request.getRequestDispatcher("/message.jsp").forward(request, response);
}
@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
this.doGet(request, response);
}
}
这里判断了文件是否为空，可是没有判断文件的类型。apache
public class UploadHandleServlet1 extends HttpServlet{
@Override
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
//获得上传文件的保存目录，将上传的文件存放于WEB-INF目录下，不容许外界直接访问，保证上传文件的安全
String savePath = this.getServletContext().getRealPath("/WEB-INF/upload");
//上传时生成的临时文件保存目录
String tempPath = this.getServletContext().getRealPath("/WEB-INF/temp");
File file = new File(tempPath);
if(!file.exists()&&!file.isDirectory()){
System.out.println("目录或文件不存在！");
file.mkdir();
}
//消息提示
String message = "";
try {
//使用Apache文件上传组件处理文件上传步骤：
//一、建立一个DiskFileItemFactory工厂
DiskFileItemFactory diskFileItemFactory = new DiskFileItemFactory();
//设置工厂的缓冲区的大小，当上传的文件大小超过缓冲区的大小时，就会生成一个临时文件存放到指定的临时目录当中。
diskFileItemFactory.setSizeThreshold(1024*100);
//设置上传时生成的临时文件的保存目录
diskFileItemFactory.setRepository(file);
//二、建立一个文件上传解析器
ServletFileUpload fileUpload = new ServletFileUpload(diskFileItemFactory);
//解决上传文件名的中文乱码
fileUpload.setHeaderEncoding("UTF-8");
//监听文件上传进度
fileUpload.setProgressListener(new ProgressListener(){
public void update(long pBytesRead, long pContentLength, int arg2) {
System.out.println("文件大小为：" + pContentLength + ",当前已处理：" + pBytesRead);
}
});
//三、判断提交上来的数据是不是上传表单的数据
if(!fileUpload.isMultipartContent(request)){
//按照传统方式获取数据
return;
}
//设置上传单个文件的大小的最大值，目前是设置为1024*1024字节，也就是1MB
fileUpload.setFileSizeMax(1024*1024);
//设置上传文件总量的最大值，最大值=同时上传的多个文件的大小的最大值的和，目前设置为10MB
fileUpload.setSizeMax(1024*1024*10);
//四、使用ServletFileUpload解析器解析上传数据，解析结果返回的是一个List<FileItem>集合，每个FileItem对应一个Form表单的输入项
List<FileItem> list = fileUpload.parseRequest(request);
for (FileItem item : list) {
//若是fileitem中封装的是普通输入项的数据
if(item.isFormField()){
String name = item.getFieldName();
//解决普通输入项的数据的中文乱码问题
String value = item.getString("UTF-8");
String value1 = new String(name.getBytes("iso8859-1"),"UTF-8");
System.out.println(name+" "+value);
System.out.println(name+" "+value1);
}else{
//若是fileitem中封装的是上传文件，获得上传的文件名称，
String fileName = item.getName();
System.out.println(fileName);
if(fileName==null||fileName.trim().equals("")){
continue;
}
//注意：不一样的浏览器提交的文件名是不同的，有些浏览器提交上来的文件名是带有路径的，如： c:\a\b\1.txt，而有些只是单纯的文件名，如：1.txt
//处理获取到的上传文件的文件名的路径部分，只保留文件名部分
fileName = fileName.substring(fileName.lastIndexOf(File.separator)+1);
//获得上传文件的扩展名
String fileExtName = fileName.substring(fileName.lastIndexOf(".")+1);
if("jsp".equals(fileExtName)||"rar".equals(fileExtName)||"tar".equals(fileExtName)||"jar".equals(fileExtName)){
request.setAttribute("message", "上传文件的类型不符合！！！");
request.getRequestDispatcher("/message.jsp").forward(request, response);
return;
}
//若是须要限制上传的文件类型，那么能够经过文件的扩展名来判断上传的文件类型是否合法
System.out.println("上传文件的扩展名为:"+fileExtName);
//获取item中的上传文件的输入流
InputStream is = item.getInputStream();
//获得文件保存的名称
fileName = mkFileName(fileName);
//获得文件保存的路径
String savePathStr = mkFilePath(savePath, fileName);
System.out.println("保存路径为:"+savePathStr);
//建立一个文件输出流
FileOutputStream fos = new FileOutputStream(savePathStr+File.separator+fileName);
//建立一个缓冲区
byte buffer[] = new byte[1024];
//判断输入流中的数据是否已经读完的标识
int length = 0;
//循环将输入流读入到缓冲区当中，(len=in.read(buffer))>0就表示in里面还有数据
while((length = is.read(buffer))>0){
//使用FileOutputStream输出流将缓冲区的数据写入到指定的目录(savePath + "\\" + filename)当中
fos.write(buffer, 0, length);
}
//关闭输入流
is.close();
//关闭输出流
fos.close();
//删除处理文件上传时生成的临时文件
item.delete();
message = "文件上传成功";
}
}
} catch (FileUploadBase.FileSizeLimitExceededException e) {
e.printStackTrace();
request.setAttribute("message", "单个文件超出最大值！！！");
request.getRequestDispatcher("/message.jsp").forward(request, response);
return;
}catch (FileUploadBase.SizeLimitExceededException e) {
e.printStackTrace();
request.setAttribute("message", "上传文件的总的大小超出限制的最大值！！！");
request.getRequestDispatcher("/message.jsp").forward(request, response);
return;
}catch (FileUploadException e) {
// TODO Auto-generated catch block
e.printStackTrace();
message = "文件上传失败";
}
request.setAttribute("message",message);
request.getRequestDispatcher("/message.jsp").forward(request, response);
}
@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
doGet(request, response);
}
//生成上传文件的文件名，文件名以：uuid+"_"+文件的原始名称
public String mkFileName(String fileName){
return UUID.randomUUID().toString()+"_"+fileName;
}
public String mkFilePath(String savePath,String fileName){
//获得文件名的hashCode的值，获得的就是filename这个字符串对象在内存中的地址
int hashcode = fileName.hashCode();
int dir1 = hashcode&0xf;
int dir2 = (hashcode&0xf0)>>4;
//构造新的保存目录
String dir = savePath + "\\" + dir1 + "\\" + dir2;
//File既能够表明文件也能够表明目录
File file = new File(dir);
if(!file.exists()){
file.mkdirs();
}
return dir;
}
}
这段代码和上面不一样的是添加多了一个黑名单，多了一个判断条件， if("jsp".equals(fileExtName)||"rar".equals(fileExtName)||"tar".equals(fileExtName)||"jar".equals(fileExtName),可是这样的黑名单仍是能过去绕过的。浏览器
主要的审计要是看上传地方是否是黑名单，若是是黑名单，该怎么去绕过。若是是白名单，在jdk低版本中也可使用%00截断。安全
验证Mime类型文件上传案例
public class mimetype {
public static String main(String fileUrl) throws IOException {
String type = null;
URL u = new URL(fileUrl);
URLConnection uc = u.openConnection();
type = uc.getContentType();
return type;
}
}
0x01 任意文件读取dom
任意文件读取漏洞其实比较简单，基本上就2种方法，一个是字节输入流InputStream，一个是FileReader字符输入流。jsp
InputStream:ide
@WebServlet("/readServlet")
public class readServlet extends HttpServlet {
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
this.doGet(request, response);
}
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String filename = request.getParameter("filename");
File file = new File(filename);
OutputStream outputStream = null;
InputStream inputStream = new FileInputStream(file);
int len;
byte[] bytes = new byte[1024];
while(-1 != (len = inputStream.read())) {
outputStream.write(bytes,0,len);
}
}}
FileReader:ui
@WebServlet("/downServlet")
public class readServlet extends HttpServlet {
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
this.doGet(request, response);
}
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String filename = request.getParameter("filename");
String fileContent = "";
FileReader fileReader = new FileReader(filename);
BufferedReader bufferedReader = new BufferedReader(fileReader);
String line = "";
while (null != (line = bufferedReader.readLine())) {
fileContent += (line + "\n");
}
}
}
这两种方法除了读写方式不同外，其他的都是同样的。this
0x02 任意文件下载
在前面的ssrf中其实提到了这个文件读取和下载，可是ssrf中是进行了远程请求的时候获取的输入流，而后进行输出。而在任意文件读取或下载中，是直接去使用io流进行读写，显示出来给咱们。
@WebServlet("/downServlet")
public class readServlet extends HttpServlet {
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
this.doGet(request, response);
}
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String filename = request.getParameter("filename");
String fileContent = "";
FileReader fileReader = new FileReader(filename);
response.setHeader("content-disposition", "attachment;fileName=" + filename);
BufferedReader bufferedReader = new BufferedReader(fileReader);
String line = "";
while (null != (line = bufferedReader.readLine())) {
fileContent += (line + "\n");
}
}
}
和前面的文件读取也差很少，只是多了设置了一个响应体。
0x03 任意文件删除
@WebServlet("/downServlet")
public class readServlet extends HttpServlet {
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
this.doGet(request, response);
}
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String filename = request.getParameter("filename");
File file = new File(filename);
PrintWriter writer = response.getWriter();
if(file != null && file.exists() && file.delete()) {
writer.println("删除成功");
} else {
writer.println("删除失败");
}
}
}
参考文章
https://www.cnblogs.com/lcngu/p/5471610.html https://xz.aliyun.com/t/6986
0x04 结尾
本文的一些代码其实比较简单，可是若是实际中仍是须要注意一些可能产生漏洞的点。
相关文章
- 1. 代码审计学习之文件操作漏洞
- 2. 漏洞审计
- 3. JAVA代码审计之XSS漏洞
- 4. JAVA代码审计之XXE漏洞
- 5. JAVA代码审计之越权漏洞
- 6. 代码审计-文件包含漏洞
- 7. VAuditDemo-文件包含漏洞的审计
- 8. php代码审计之任意文件读取漏洞
- 9. java代码审计常见漏洞点
- 10. 代码审计之_lmxcms1.4漏洞
- 更多相关文章...
- • Java 中操作 R - R 语言教程
- • C# Windows 文件系统的操作 - C#教程
- • 三篇文章了解 TiDB 技术内幕 —— 说计算
- • Docker容器实战(七) - 容器眼光下的文件系统
相关标签/搜索
每日一句
-
每一个你不满意的现在，都有一个你没有努力的曾经。
最新文章
- 1. 融合阿里云，牛客助您找到心仪好工作
- 2. 解决jdbc(jdbctemplate)在测试类时不报错在TomCatb部署后报错
- 3. 解决PyCharm GoLand IntelliJ 等 JetBrains 系列 IDE无法输入中文
- 4. vue+ant design中关于图片请求不显示的问题。
- 5. insufficient memory && Native memory allocation (malloc) failed
- 6. 解决IDEA用Maven创建的Web工程不能创建Java Class文件的问题
- 7. [已解决] Error: Cannot download ‘https://start.spring.io/starter.zip?
- 8. 在idea让java文件夹正常使用
- 9. Eclipse启动提示“subversive connector discovery”
- 10. 帅某-技巧-快速转帖博主文章（article_content）
欢迎关注本站公众号,获取更多信息
相关文章
- 1. 代码审计学习之文件操作漏洞
- 2. 漏洞审计
- 3. JAVA代码审计之XSS漏洞
- 4. JAVA代码审计之XXE漏洞
- 5. JAVA代码审计之越权漏洞
- 6. 代码审计-文件包含漏洞
- 7. VAuditDemo-文件包含漏洞的审计
- 8. php代码审计之任意文件读取漏洞
- 9. java代码审计常见漏洞点
- 10. 代码审计之_lmxcms1.4漏洞