- 微信
- 微博
  
  分享文章到微博
- 复制链接
  
  复制链接到剪贴板

java代码审计-mcms

亿人安全发表于 2023/05/11 22:14:13 2023/05/11

【摘要】环境搭建：代码审计：1.xss漏洞我们找到 net.mingsoft.basic.filter.XssHttpServletRequestWrapper并添加断点，再次触发漏洞，看到一个完整的调用栈，net/mingsoft/basic/filter/XssHttpServletRequestWrapper.javathrow new BusinessException("参数异常:"+ c...

环境搭建：

代码审计：

1.xss漏洞

我们找到 net.mingsoft.basic.filter.XssHttpServletRequestWrapper并添加断点，再次触发漏洞，看到一个完整的调用栈，

net/mingsoft/basic/filter/XssHttpServletRequestWrapper.java

throw new BusinessException("参数异常:"+ content);此处直接将content原样拼接到报错中

漏洞复现：

2.SQL注入

思路：MCMS是使用mybaits作为持久层框架的，当在与接口对应的xml文件中使用 ${String} 时，会将String拼接进SQL语句。还有 <include></include>标签，会将一段复用的SQL代码拼接入当前语句中。

从这个思路出发，有两类注入，第一种造成的注入多，第二种需要官方的编辑器（因需要注册，不做记录，给出链接https://gitee.com/mingSoft/MCMS/issues/I61P5X）

知识点：mybatis的xml有对应java代码interface，xml中的id对应interface中的方法

先给出明确的脉络，方便之后跟进不少的代码

从xml->interface->impl(实现)->Controller->抓包构造

全局搜索 ${

进入ICategoryDao.xml

跟进include中的net.mingsoft.base.dao.IBaseDao.sqlWhere，文件为net/mingsoft/base/dao/IBaseDao.xml

在jar包中

这里需要注意：

${item.field}被直接拼接在SQL语句中
${item.field}，item是collection="sqlWhereList"的别名，也就是${sqlWhereList.field}
传递的参数sqlWhereList，需要构造的是其中的field

2. 找接口及其实现

思路回到ICategoryDao.xml，找select id="query"对应的接口

找实现query的类，有三个，但只有一个接收传参

net/mingsoft/base/biz/impl/BaseBizImpl.java

public abstract class BaseBizImpl<M extends BaseMapper<T>,T> extends ServiceImpl<M,T> implements IBaseBiz<T> {
    ...
    	@Override
	public List<T> query(BaseEntity entity) {
		// TODO Auto-generated method stub
		return getDao().query(entity);
	}
	...
}

这是个抽象类，继续找，红线上为库中的，红线下为项目中的，先看项目中的

以`net/mingsoft/cms/action/CategoryAction.java`为例，获得地址：url为`@RequestMapping("/${ms.manager.path}/cms/category")`，`${ms.manager.path}`在配置中为ms

找到了query，categoryBiz.query；还没找到它的参数sqlWhereList，看看CategoryEntity，没有

看父类BaseEntity，找到sqlWhereList和SQLwhere，SQLwhere是`[{}]`形式，这里还看到一个眼熟的东西，JSONObject.parseArray，那么会不会有JSONObject.parse呢？

public abstract class  BaseEntity implements Serializable{
    ...
        
	/**
	 * 自定义SQL where条件，需要配合对应dao.xml使用
	 */
	@JsonIgnore
	@XmlTransient
	@TableField(exist = false)
	protected String sqlWhere;
    
    @JsonIgnore
	@XmlTransient
	public String getSqlWhere() {
		return sqlWhere;
	}
    public void setSqlWhere(String sqlWhere) {
		this.sqlWhere = sqlWhere;
	}
    
    @JsonIgnore
	@XmlTransient
	public List getSqlWhereList() {
		if(StringUtils.isNotBlank(sqlWhere)){
			try {
				return JSONObject.parseArray(sqlWhere,Map.class);
			}catch (Exception e){
				e.printStackTrace();
			}
		}
		return Collections.EMPTY_LIST;
	}
    ...
}