java代码审计初试——newbee-mall审计

比眉伴天荒 2024-05-23 14:15 23阅读 0赞

### java代码审计初试——newbee-mall审计 ###

### 一、介绍 ###

本次审计对象是newbee-mall Version 1.0.0（新蜂商城系统），是一个适合比较基础的朋友练习代码审计的一套系统。采用了 Spring Boot 架构，代码逻辑清晰简单。

下载地址：https://github.com/newbee-ltd/newbee-mall

### 二、项目搭建 ###

<table> 
 <thead> 
  <tr> 
   <th>软件名</th> 
   <th>版本</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>操作系统</td> 
   <td>win10</td> 
  </tr> 
  <tr> 
   <td>java</td> 
   <td>jdk1.8_x</td> 
  </tr> 
  <tr> 
   <td>审计软件</td> 
   <td>IntelliJ IDEA 2019.3.3 x64</td> 
  </tr> 
  <tr> 
   <td>Maven</td> 
   <td>3.6.1</td> 
  </tr> 
  <tr> 
   <td>mysql</td> 
   <td>5.7.26</td> 
  </tr> 
  <tr> 
   <td>审计目标</td> 
   <td>newbee-mall Version 1.0.0</td> 
  </tr> 
 </tbody> 
</table>

**1、下载newbee-mall Version 1.0.0**

使用 IDEA 以 Maven 方式打开该项目即可，会自动加载相关依赖。没有任何报错就是依赖成功加载了

![在这里插入图片描述][5edc320e3afa4395a508ac22bdc3a5f6.png]

**2、打开 PHPStudy 下的 Mysql 5.7.26 数据库**

通打开命令行进入 mysql 数据库，创建名为newbeedb 的数据库，最后导入 newbee-mall\\src\\main\\resources 目录下的newbee\_mall\_schema.sql 数据，如下命令：

进入mysql：mysql -u root -p (回车后键入密码)

创建数据库：create database newbeedb;

切换使用数据库：use newbeedb;

导入数据：source 数据文件绝对路径

show tables ：查看到下图的表就成功了；

![在这里插入图片描述][ac161192ba184971b082e18a1b958e1a.png]

**3、修改系统配置文件信息**

访问 src/main/resources/application.properties 配置文件的第 10 ~ 12 行，修改数据库链接信息：  
![在这里插入图片描述][ac795fe291734285ac3be66098a07aa1.png]

4、启动项目  
![在这里插入图片描述][6e6fd59e0f6a4f7e808bf7ef9927e07f.png]

5、访问目标

http://127.0.0.1:28089/，后台地址：

http://127.0.0.1:28089/admin/login，登录账号密码为 admin/123456

![在这里插入图片描述][d348083051f7448fa842826b4972e423.png]

### 三、漏洞挖掘 ###

#### （一）、后台SQL注入漏洞 ####

在对该项目进行简单梳理时，发现该项目使用了 Mybatis 持久层框架，可以简单理解成操作数据的第三方依赖。不恰当的使用 Mybatis 拼接 SQL 语句，往往会造成危害严重的 SQL 注入漏洞。在 Mybatis 中有两种常用的拼接 SQL 语句的符号，即 $ 和 \# 。

\#\{\} 告诉 MyBatis 创建一个预编译语句（PreparedStatement）参数，在 JDBC 中，这样的一个参数在SQL 中会由一个 ? 来标识，并被传递到一个新的预处理语句中，这样可以有效的防止 SQL 注入漏洞。

$\{\} 仅仅是纯粹的 string 替换，在动态 SQL 解析阶段将会进行变量替换，类似于直接替换字符串，会导致SQL注入产生。

因此，

1、我们可以在项目中全局搜索关键字 $\{，查看是否使用了存在风险的拼接方式，共发现四处使用$\{\} 拼接 SQL 语句的地方，如下所示：

![在这里插入图片描述][0e0441864e584caa9e3e27e9e9d02d4f.png]

2、**双击第一个进入src/main/resources/mapper/NewBeeMallGoodsMapper.xml 第 70 行，如下图所示：**

![在这里插入图片描述][bde1e4c1d8b14a58b142f2b33cd2d2d8.png]

3、**逆向追踪到映射接口**

点击左边的小鸟（MybatisX插件）会调到对应的映射接口文件

![在这里插入图片描述][426e153df2ed4896ab6864373acd2be9.png]

简单说明下，在 Mybatis 中 XXXMapper.xml 和 XXXMapper.java 的作用。

xxxmapper.xml ：这是映射器（Mapper）文件，用于定义 SQL 查询语句和映射关系。它包含了各种 SQL 语句和对应的参数映射、结果映射等配置信息。xxxmapper.xml 文件中的 SQL 语句可以通过命名空间和标识符来唯一标识，并与 Java 代码中的对应映射器接口关联起来。这个文件通常是使用 XML 格式编写的。

xxxmapper.java ：这是映射器接口，用于定义数据访问的方法。映射器接口中的方法通常对应于xxxmapper.xml 文件中定义的 SQL 查询语句。通过映射器接口，Java 代码可以调用数据库操作，而不需要直接编写和管理 SQL 查询语句。MyBatis 会在运行时自动实现这些接口的具体实现。映射器接口通常使用 Java 接口的形式编写。

4、**继续逆向追踪**

查看谁调用了 NewBeeMallGoodsMapper.java 接口中的findNewBeeMallGoodsList 方法，我们只需键盘按住 Ctrl + 鼠标左键点击该方法即可看到调用关系：  
![在这里插入图片描述][bb2dcc3ee0894227a6dd1d0611b480e3.png]

5、**进入 NewBeeMallGoodsServiceImpl.java，**

位于src/main/java/ltd/newbee/mall/service/impl/NewBeeMallGoodsServiceImpl.java ，在getNewBeeMallGoodsPage 方法中使用了 goodsMapper.findNewBeeMallGoodsList 方法：  
![在这里插入图片描述][18e2a4e436a8448a89c0d0edc62160e3.png]

6、**继续逆向追踪，查看谁调用了 getNewBeeMallGoodsPage 方法，**

还是只需键盘按住 Ctrl+ 鼠标左键点击该方法即可看到调用关系，直接跳到了 NewBeeMallGoodsController，位于src/main/java/ltd/newbee/mall/controller/admin/NewBeeMallGoodsController.java ，在第134 行使用了 getNewBeeMallGoodsPage 方法

7、**分析NewBeeMallGoodsController 中 list 方法代码**

首先，点击第 134 行中 pageUtil，该参数来自第 133 行，通过 PageQueryUtil 类创建一个 pageUtil 对象，传入 params 作为参数。PageQueryUtil 是作者自定义的工具类，是用于处理分页相关的操作。

然后，点击 133 行中 params，可以看到该参数来自第 129 行，是一个 Map 对象，可以简单理解为它需要从请求中获取参数。

最后，整理代码信息可以得到接口路径为/goods/list即 (http://127.0.0.1:28089/admin/goods/list)，请求为 GET 方法，是个列表功能，根据代码路径来看应该是后台功能，这么看来我们找到了漏洞前端功能点。如下图所示：

![在这里插入图片描述][a87fe76232ad43f5b5e2f04a1c968acc.png]

有时 SQL 注入防范代码会在过滤器和拦截器中体现，但查看该项目时，并没有发现相关防护代码。

##### 漏洞利用： #####

来到后台，从代码注释上大致可以猜到是商品管理功能：  
![在这里插入图片描述][4b3962a52f444cf8a3d68239370c7d43.png]

F12查看这个功能的请求包

![在这里插入图片描述][56ac24263f5f44f293df4e2d691f08e8.png]

接下来burpsuit抓包拼接漏洞参数（goodsName）  
![在这里插入图片描述][e32e6123e27c4072aa161f8278667ffe.png]

sqlmap验证存在注入：  
![在这里插入图片描述][b80bbacfdb1340f48c3ac5f0221c1965.png]

#### （二）、前台SQL注入漏洞 ####

![在这里插入图片描述][a8b06e562bcb4f8684534b35dc65de06.png]

来到mapper文件

![在这里插入图片描述][f1c7e2f6b05848878bd7aadb0c279306.png]

逆向追踪来到最终的Controller文件  
![在这里插入图片描述][6b4400f8e61a4a6099387d1ed4e1ce3c.png]

可以得到接口路径为 /search 或 /search.html ，请求为 GET 方法，应该是个搜索功能，根据代码路径来看应该是前台功能，这么看来我们找到了漏洞前端功能点，漏洞参数为keyword。

![在这里插入图片描述][7d4c1cb7e01d420cb096903bd8ebca1f.png]

sqlmap验证：  
![在这里插入图片描述][0a8070912fc34e62a7bfefb56004642b.png]

#### （三）、后台权限绕过漏洞 ####

漏洞代码位于：src/main/java/ltd/newbee/mall/interceptor/AdminLoginInterceptor.java 的第 21 ~ 32 行  
![在这里插入图片描述][cdd872eb31c943118f75b5e186180033.png]

这段代码的意思是：

request.getRequestURI()获取路径  
if判断：如果路径的开头是以/admin开头 并且Session 中的 loginUser 属性为 null；  
if判断成立后，提示需要登录并跳转到后台登录页面中。  
这两个条件中，Session 部分我们是没办法操纵的。但 uri.startsWith(“/admin”) 这个条件我们可以搞点小破坏，前面提到了 uri 是使用的 getRequestURI 方法获取的原始路径，那么我们可以找一些特殊字符绕过路径判断，并且不影响整体接口，比如：分号 ; ，正斜杠 / 等等。  
最终，构造结构路径为 /;/admin/test 或 ///admin/test ，这样路径就不是以 /admin 开头了，并且该路径不会影响结构访问，实现了权限绕过。  
![在这里插入图片描述][eb85d265fec94539aeb7b1d2b8e322b4.png]

#### （四）、越权漏洞 ####

在做这部分代码审计分析时，我们需要改动两处代码，打开注册功能。

第一处，访问 src/main/java/ltd/newbee/mall/controller/mall/PersonalController.java 代码，将注册功能代码注释删除，最终如下图所示：

![在这里插入图片描述][79f094bf28514f07857244115cb19a32.png]

第二处，访问 src/main/resources/templates/mall/register.html ，将47行的注册事件按钮的register2()改为register()，如下图所示：

![在这里插入图片描述][cf33af7c50a54d8bb6186e19b842273d.png]

1、注册两个账号进入用户中心，点击更改个人信息抓包发现userid，可能存在越权漏洞

![在这里插入图片描述][32053040763b407ead687777e4c88f8f.png]

在项目中全局搜索接口名 /personal/updateInfo ，最终找到代码位置  
src/main/java/ltd/newbee/mall/controller/mall/PersonalController.java  
如下图所示：  
![在这里插入图片描述][e5de9b3727414967b3fce957409f5018.png]

第一步：分析第 116 行，通过方法名也可以看出这是更新用户信息的方法，其中传入了 mallUser和 httpSession 参数，而这两个参数来自用户， MallUser mallUser 表示要更新的用户对象，也就是接受用户信息的实体类， HttpSession httpSession 表示当前会话的 HttpSession 对象。我们可以跟进 MallUser 查看，主要定义了以下内容，其中有个 userId，如下图所示：  
![在这里插入图片描述][72e19ae7acb44ea5b97d0634f72e517b.png]

第二步：返回到 PersonalController 层，Ctrl 加鼠标左键点击第 116 行的 updateUserInfo 跟进该方法，最终跳转到了 NewBeeMallUserService 层，如下图所示：  
![在这里插入图片描述][2917e63b45b342b4bab9d707e414e025.png]

点击左侧按钮，进行跟进到 NewBeeMallUserServiceImpl 层，updateUserInfo 方法具体代码如下

![在这里插入图片描述][302b914721b04fb2b3c2485a7b673ad0.png]

**第三步：分析实现层代码具体做了什么操作。**  
第 73 行，根据根据用户 ID 主键查询用户信息，跟进 selectByPrimaryKey 通过 MallUserMapper.java接口跳转到 MallUserMapper.xml 映射器代码中。可以看到，通过限制 userId 在tb\_newbee\_mall\_user 表中查询用户信息。也就是说，我的 userId 是 10，则最终查询语句如下，代码如下图所示：

select refid="Base_Column_List"(在上面定义了具体是哪些列) from
    tb_newbee_mall_user where user_id = 10;

![在这里插入图片描述][691e4e8155ee444c9eb529caf2823a58.png]

总结来说，第 73 行的作用是通过 ID 查询用户信息并赋值给 user  
第 74 ~ 77 行，如果 user 不为 null，进行了三个 set 操作，其中传入的参数是来自 mallUser。也就是说，将查询到的用户信息中的内容设置成了用户输入的内容了。如下图所示：  
![在这里插入图片描述][6a4e8c48de854f9b9a6047bf8b9e79b0.png]

第 78 行是关键，通过调用 mallUserMapper.updateByPrimaryKeySelective(user) 方法，将更新后的用户信息保存到数据库。如果更新操作影响的行数大于 0，则执行下面的代码块。我们跟进该方法，通过 MallUserMapper.java 接口跳转到 MallUserMapper.xml 映射器代码中。在这里面我们主要更新了 nick\_name，address 以及 introduce\_sign 这三个是我们传入的参数，不为 null。如下图所示：  
![在这里插入图片描述][dd9f2fb37d5145279367ddcd0a252682.png]

第 79 ~ 83 行，是上面代码判断操作是否大于 0，符合该条件则进入这几行代码，我们更新个人信息是否符合这个条件的。这几行代码大致意思是，获取更新的用户信息，然后返回更新成功的响应。  
第四步：整个流程我们追踪完了，总的来说，就是通过传入的 userId 获取用户信息后进行信息更新操作。整个流程没有任何权限校验，没有判断 userId 所属关系，进而造成了越权漏洞。  
漏洞验证：  
第一个账号：

![在这里插入图片描述][6f3d3f9adf2341efaefa68cf3f5f1d89.png]

抓包发现userid为10  
![在这里插入图片描述][b171dcc5ee874ed8ad326ddc1bdb6d72.png]

第二个账号  
![在这里插入图片描述][de91e325cc3f4eb9ab949abee595203f.png]

抓包发现userid为9  
![在这里插入图片描述][a9fbe037b8c645558232663f68655149.png]

第一步：更改第一个账号（昵称以135开头的）的信息，将userid由原来的10改为9发送

![在这里插入图片描述][5d320757b25044138d1fd159598f4808.png]

在登录另一个账号（138开头的）进入个人中心，发现信息已被更改  
![在这里插入图片描述][a0672169218e4709a38eabd204f92037.png]

到此结束！！！！！

[5edc320e3afa4395a508ac22bdc3a5f6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/af82ac0ce4b847cc8bf4332494f9f8c5.png
[ac161192ba184971b082e18a1b958e1a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/5df9294025a44d9e9d5f1f34b4d2a4db.png
[ac795fe291734285ac3be66098a07aa1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/2b9cc34e51d649108b5b6844811d02e8.png
[6e6fd59e0f6a4f7e808bf7ef9927e07f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/358a91c5c6664fda9f3e4d0d915658ca.png
[d348083051f7448fa842826b4972e423.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/70ceb7b20beb41718b2598a0d9001311.png
[0e0441864e584caa9e3e27e9e9d02d4f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/56b2277b4c764fafb70e01668cb1278a.png
[bde1e4c1d8b14a58b142f2b33cd2d2d8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/f8ecc8bae2724e3597976a35ac38b336.png
[426e153df2ed4896ab6864373acd2be9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/eb731e1d599440d886bbbcfb69dab193.png
[bb2dcc3ee0894227a6dd1d0611b480e3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/f4cc5bab52054299bf21699efb39e07c.png
[18e2a4e436a8448a89c0d0edc62160e3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/019f6c4685a349cfb6b920b94ec60e5b.png
[a87fe76232ad43f5b5e2f04a1c968acc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/04ba65e69cb346328fd66f78a9718460.png
[4b3962a52f444cf8a3d68239370c7d43.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/6868bdaff3b7430596df4e67a05be862.png
[56ac24263f5f44f293df4e2d691f08e8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/d71347688f2649769446a1cd654df770.png
[e32e6123e27c4072aa161f8278667ffe.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/f6198849a0a84ee4bfcca655ce76a246.png
[b80bbacfdb1340f48c3ac5f0221c1965.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/a9f549d126054a3ea9a4233ec57673ae.png
[a8b06e562bcb4f8684534b35dc65de06.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/5a66f394f4734da78d0fdcded304122d.png
[f1c7e2f6b05848878bd7aadb0c279306.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/a1b8cfc7592d45f89c3ba01ffa40a8f1.png
[6b4400f8e61a4a6099387d1ed4e1ce3c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/a9b6571fa39442ee917854d78b7ef0ce.png
[7d4c1cb7e01d420cb096903bd8ebca1f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/c5f736edd0ac4fac802d39841c2c9c03.png
[0a8070912fc34e62a7bfefb56004642b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/1ba0fb864da14381b6e1c4d7ec1d5189.png
[cdd872eb31c943118f75b5e186180033.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/fe407403777a4698bed4144ad50dae6b.png
[eb85d265fec94539aeb7b1d2b8e322b4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/c79a0d2a245b40abb33b98728364f091.png
[79f094bf28514f07857244115cb19a32.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/05da4ec71a054810a2a8da61497f39af.png
[cf33af7c50a54d8bb6186e19b842273d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/fd2522a0f050419f95caf75554271598.png
[32053040763b407ead687777e4c88f8f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/04521f0948844bd0a86f404171edeff5.png
[e5de9b3727414967b3fce957409f5018.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/a95a7b233a8541aaac72e6a98dc85093.png
[72e19ae7acb44ea5b97d0634f72e517b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/cff9e20a14b746deaca7418f32d1541c.png
[2917e63b45b342b4bab9d707e414e025.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/72121a6e2a3143efa8cd0e2fa40bfaf7.png
[302b914721b04fb2b3c2485a7b673ad0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/29e4a89713664f52bd32435065493cb8.png
[691e4e8155ee444c9eb529caf2823a58.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/08bb4788989b4b298777f797a9a30573.png
[6a4e8c48de854f9b9a6047bf8b9e79b0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/b4b01360608f45649349991b6c7bccb9.png
[dd9f2fb37d5145279367ddcd0a252682.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/1940fe7f106045f3bee635159f502d0a.png
[6f3d3f9adf2341efaefa68cf3f5f1d89.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/760bdd00a5b2424883af0faccf9748e7.png
[b171dcc5ee874ed8ad326ddc1bdb6d72.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/b2b1644c1ca346d4b5071794ec231d35.png
[de91e325cc3f4eb9ab949abee595203f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/4a987115dd4849dd91847d502ff69291.png
[a9fbe037b8c645558232663f68655149.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/fb83b031f3cc42c4ba403b6e3d8ba84b.png
[5d320757b25044138d1fd159598f4808.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/6cc84e65f8b74980abd2b48f99f9c33a.png
[a0672169218e4709a38eabd204f92037.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/cfebc778e28941b89b2e029fee5de3b6.png