代码审计-JAVA----javaweb代码审计思路

框架确定：
1、maven（查看pom.xml关键字）
spring-core/ springframework.core    spring框架
struts2-core                         struts2框架
springframework.boot                 srping-boot框架
servlet-api                          原生servlet
 
2、lib（查看jar包名称）
spring-core/springframework.core    spring框架
struts2-core                        struts2框架
spring-boot                         srping-boot框架
servlet-api                         原生servlet

web.xml中
<filter>
    <filter-name>xsscheck</filter-name>//名字
    <filter-class>com.anbai.sec.XssFilter</filter-class>//class
</filter>
<filter-mapping>
    <filter-name>xsscheck</filter-name>//名字
    <url-pattern>*.jsp</url-pattern>//路由
</filter-mapping>

1、PreparedStatement预编译机制（安全写法）
 
// sql语句（使用?进行占位）
String sql = "select * from user where id = ?";         
// sql语句的预编译（返回一个预编译对象）
xxx = conn.prepareStatement(sql);
 
 
2、直接进行拼接（不安全写法）
String sql = "select * from user where id ="+req.getParameter("id");

1、#会对语句进行预编译
安全写法（）： select *  from user where name = #{name}
 
2、${ }动态解析SQL时候会进行变量替换（ 只进行string替换）
不安全写法（UserDao.xml）：select *  from user where name = ${name} 
 
3、产生原因
 
模糊查询
使用#程序会报错         Select * from news where title like ‘%#{title}%’
（可能会把#号改成了$)
正确：                  Select * from news where tile like concat(‘%’,#{title}, ‘%’)
 
 
in 后有参数
使用# 同样会报错        Select * from news where id in (#{ids})
（可能会将将#替换为$）
正确(使用foreach)       id in<foreach collection="ids" item="item" open="("separatosr="," close=")">#{ids} </foreach>
 
 
order by
order by使用的是$，而like和in没有问题

1、安全写法（）：参数绑定预编译
Query<User>.query=session.createNativeQuery("select * from user  where name=:name");
query.setParameter("name",parameter) ;
 
2、不安全写法（User.java）：直接拼接
Query<User>.query=session.createNativeQuery("select * from user  where name="+req.getParameter("id"));

1、
Shiro：通用性，是一个权限管理的框架,实现用户认证、用户授权等
Spring Security：和 Spring 无缝整合
……
 
2、分析pom.xml Maven配置文件
<shiro-spring-version>……</shiro-spring-version>
<shiro-ehcache.version>……</shiro-ehcache.version>
针对对应的版本号，搜索已爆出的框架漏洞
 
3、查看shiro配置信息
tumo.shiro.anon_url=\
  /login,/logout,/register,\
  /,/about,/p/**,/links,/comment/**,/link/list,/article/list,\
  /css/**,/js/**,/img/**
（anon代表不需要鉴权的配置，**表示该接口下的所有接口）

xlsx-streamer poi-ooxml
Documentbuilder|DocumentBuilderFactory|SAXReader|SAXParser|SAXParserFactory|SAXBuilder|TransformerFactory|reqXml|getInputStream|XMLReaderFactory|.newInstance|SchemaFactory|SAXTransformerFactory|javax.xml.bind|XMLReader|XmlUtils.get|Validator
javax.xml.parsers.DocumentBuilder
javax.xml.stream.XMLStreamReader
org.jdom.input.SAXBuilder
org.jdom2.input.SAXBuilder
javax.xml.parsers.SAXParser
org.dom4j.io.SAXReader
org.xml.sax.XMLReader
javax.xml.transform.sax.SAXSource
javax.xml.transform.TransformerFactory
javax.xml.transform.sax.SAXTransformerFactory
javax.xml.validation.SchemaFactory
javax.xml.bind.Unmarshaller
javax.xml.xpath.XPathExpression
org.apache.commons.digester3.Digester