javaweb代码审计学习(目录穿越&URL跳转)

Java安全

Word count: 663Reading time: 3 min

 2021/11/30   Share

目录穿越漏洞

目录穿越漏洞常常出现在需要用户提供路径或文件名时，如文件下载，如果没有对类似../的字符进行过滤，有可能会造成目录穿越漏洞。

示例代码如下:

@RestController
public class download {
    @RequestMapping("/download")
    public String downlaodFile(@RequestParam("img")String img, HttpServletResponse response){
        String filepath = System.getProperty("user.dir")+img;
        File imageFile = new File(filepath);
        response.setCharacterEncoding("UTF-8");

        if (imageFile.exists()){
            FileInputStream fis = null;
            OutputStream os = null;
            try{
                fis = new FileInputStream(imageFile);
                os = response.getOutputStream();
                int count = 0;
                byte[] b = new byte[1024*8];
                while((count=fis.read(b))!=-1){
                    os.write(b,0,count);
                    os.flush();
                }
                os.close();
            }catch (Exception e){
                e.printStackTrace();
            }finally {
                try{
                    os.close();
                    fis.close();
                }catch (Exception e){
                    e.printStackTrace();
                }

            }
        }
        return "success!!";
    }
}

在url中加入../../flag.txt成功跨目录读取

目录穿越漏洞修复

通过ID进行文件索引下载文件
合理配置权限
对目录进行限制

也可以直接加入以下代码检测跨目录

1	if(temp.indexOf("..")!=-1\|\|temp.charAt(0)=="/")

URL跳转漏洞

URL跳转漏洞简介

由于业务需要，很多Web应用需要与内部其他服务器或者第三方服务进行交互，这样就需要重定向的功能，由当前页面跳转到其他页面。由于是从可信站点进行跳转的，因此用户会对跳转后的链接比较信任，假如跳转参数可控，可能跳转到钓鱼网站造成危害。

URL跳转代码实现

ModelAndView方式

@Controller
public class modelRedirect {
    @RequestMapping("/redirect")
    public ModelAndView testforward(HttpServletRequest request, HttpServletResponse response){
        String url = request.getParameter("url");
        url = "redirect:"+url;
        return new ModelAndView(url);
    }
}

这样就能跳转到其他页面

通过返回String方式

1
2
3

public String redirect(@RequestParam("url") String url){
    return "redirect:"+url;
}

使用sendRedirect方式

public static void sendRedirect(HttpServletRequest request,HttpServletResponse response) throws IOException{
    String url = request.getParameter("url");
    response.sendRedirect(url);
}

使用RedirectAttributes方式

RedirectAttributes跟sendRedirect相比多了参数传递的过程。如下传递了id=2到/hello对应的页面

@Controller
public class attrredirect {
    @RequestMapping("/attrr")
    public String test4(RedirectAttributes redirectAttributes){
        redirectAttributes.addAttribute("id","2");
        return "redirect:/hello";
    }
}

注意需要使用@Controller注解

通过设置Header来进行跳转

@RestController
public class headredirect {
    @RequestMapping("/hre")
    public static void setHeader(HttpServletRequest request, HttpServletResponse response){
        String url = request.getParameter("url");
        response.setStatus(HttpServletResponse.SC_MOVED_TEMPORARILY);
        response.setHeader("Location",url);
    }
}

HttpServletResponse.SC_MOVED_TEMPORARILY表示临时跳转，即302

URL跳转漏洞审计关键字

redirect
sendRedirect
ModelAndView
Location
addAttribute
...

URL跳转漏洞修复

严格控制要跳转的域名

限制通过路径跳转而不是url，如下

1 2	String url = request.getParameter("url"); RequestDispatcher rd = request.getRequestDispatcher(url);

Author：HacKerQWQ

原文链接：https://hackerqwq.github.io/2021/11/30/javaweb%E4%BB%A3%E7%A0%81%E5%AE%A1%E8%AE%A1%E5%AD%A6%E4%B9%A0-%E7%9B%AE%E5%BD%95%E7%A9%BF%E8%B6%8A-URL%E8%B7%B3%E8%BD%AC/

发表日期：November 30th 2021, 9:33:01 pm

更新日期：December 5th 2021, 3:52:56 pm

Next Post

javaweb代码审计学习(命令执行)
Previous Post

javaweb代码审计学习(文件上传漏洞)

CATALOG

1. 目录穿越漏洞
1. 1.1. 目录穿越漏洞修复
2. URL跳转漏洞

