Java代码（审计sql注入）
作者：互联网
java_sec_code
该项目也可以叫做Java Vulnerability Code(Java漏洞代码)。
每个漏洞类型代码默认存在安全漏洞（除非本身不存在漏洞），相关修复代码在注释里。具体可查看每个漏洞代码和注释。
由于服务器到期，在线的Demo网站已不能使用。
登录用户名密码：
admin/admin123
joychou/joychou123
写这个呢是因为我在前面学java的基础漏洞审计的时候，我自己在Typora中的笔记因为图床的问题，做的笔记截图全部都不见了，所以前面的笔记就作废了，然后在做这个项目的漏洞的时候再网上没有找到完整的做题笔记，我就想着自己也做嘛就写一个笔记下来记录自己的java学习过程
项目地址JoyChou93/java-sec-code: Java web common vulnerabilities and security code which is base on springboot and spring security (github.com)
sql
less-1
@RequestMapping("/jdbc/vuln")
public String jdbc_sqli_vul(@RequestParam("username") String username) {
StringBuilder result = new StringBuilder();
try {
Class.forName(driver);
Connection con = DriverManager.getConnection(url, user, password);
if (!con.isClosed())
System.out.println("Connect to database successfully.");
// sqli vuln code
Statement statement = con.createStatement();
String sql = "select * from users where username = '" + username + "'";
logger.info(sql);
ResultSet rs = statement.executeQuery(sql);
while (rs.next()) {
String res_name = rs.getString("username");
String res_pwd = rs.getString("password");
String info = String.format("%s: %s\n", res_name, res_pwd);
result.append(info);
logger.info(info);
}
rs.close();
con.close();
} catch (ClassNotFoundException e) {
logger.error("Sorry,can`t find the Driver!");
} catch (SQLException e) {
logger.error(e.toString());
}
return result.toString();
}
第一关是一个很基础的sql注入漏洞就是
String sql = "select * from users where username = '" + username + "'";
logger.info(sql);
ResultSet rs = statement.executeQuery(sql);
这一段代码，就是基础的就是一个正常数数据库拼接，然后我的数据库里面有admin这个用户直接拼接上去是这样的效果
image-20220921180701810
闭合语句
" + username + "====admin' union select 1,version(),user()--+
还是很简单就简单说一下，从字符串中的'admin' union select 1,2,3--+
修复方式：预编译修复
String sql = "select * from users where username = ?";
PreparedStatement st = con.prepareStatement(sql);
st.setString(1, username);
less-2
@GetMapping("/mybatis/vuln01")
public List<User> mybatisVuln01(@RequestParam("username") String username) {
return userMapper.findByUserNameVuln01(username);
}
mybatis注入，这是一个存在注入语句的
这里可以直接看出来它是一个通过username这个字段去寻找参数值的，但是数据库查询肯定会存在sql语句的执行不可能不存在，这个时候我们追究其原理
直接追踪找到接口
@Select("select * from users where username = '${username}'")
List<User> findByUserNameVuln01(@Param("username") String username);
我们发现它是用的$符号去活得参数值，这种方式的话是注解配置方案是springboot和spring里面常见的配置方式
Mybatis获取值的方式有两种，分别是${} 和 #{}。这是关于用ssm组合写的框架会存在的sql注入
动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${}。
在下面的语句中，如果 username 的值为 zhangsan，则两种方式无任何区别：
select * from user where name = #{name};
select * from user where name = ${name};
其解析之后的结果均为
select * from user where name = 'zhangsan';
但是 #{} 和 ${} 在预编译中的处理是不一样的。#{} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：
select * from user where name = ?;
而 ${} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成
select * from user where name = 'zhangsan';
以上，#{} 的参数替换是发生在 DBMS 中，而 ${} 则发生在动态解析过程中。
#{}:解析的是占位符问号，可以防止SQL注入，使用了预编译。
${}:直接获取值
还是拼接就i行了
admin' union select 1,@@version，3 --+
image-20220926185431205
修复方案就是用#{},不要使用${}
less-3
# 是通过prepareStatement的预编译的，会对自动传入的数据加一个单引号。
如：order by #{orderBy}，如果传入的时间是 ，则会被解析为 order by ‘update_time’ (这样排序是无效的，这也是为什么不能用#号传参的原因)。
@GetMapping("/mybatis/vuln02")
public List<User> mybatisVuln02(@RequestParam("username") String username) {
return userMapper.findByUserNameVuln02(username);
}
还是老规矩先追下去看
image-20220926191410973
发现没有方法再想一想往上看一看发现一个注解@Mapper注解这个注解的意思就是它有一个映射文件反手翻一翻
image-20220927103517699
然后就发现了这个select语句
<select id="findByUserNameVuln02" parameterType="String" resultMap="User">
select * from users where username like '%${_parameter}%'
</select>
追到后面发现一个like，like是模糊查询的意思
简单的插播一下like注入的原理
like查询时，如果用户输入的值有"_"和"%"，则会出现这种情况：用户本来只是想查询"abcd_"，查询结果中却有"abcd_"、"abcde"、"abcdf"等等；用户要查询"30%"（注：百分之三十）时也会出现问题。
然后：_parameter是Mybatis的内置参数，代表整个参数
我们还是直接拼接就可以了
http://localhost:8080/sqli/mybatis/vuln02?username=admin' union select 1,2,3 --+
image-20220927102725722
考点
通过配置文件的映射直接追踪过来是没有select语句的
less-4
@GetMapping("/mybatis/orderby/vuln03")
public List<User> mybatisVuln03(@RequestParam("sort") String sort) {
return userMapper.findByUserNameVuln03(sort);
}
传入的值变了是个sort，sort是短的，还是追踪sql源码来看看
<select id="findByUserNameVuln03" parameterType="String" resultMap="User">
select * from users
<if test="order != null">
order by ${order} asc
</if>
</select>
看到了是order by 然后后面有asc代表的是升序排布，desc是降序排布因为是
拼接语句选择用updataxml吧直接and拼接起来就实现了
**http://localhost:8080/sqli/mybatis/orderby/vuln03?sort=id and (updatexml(1,concat(0x7e,(select version()),0x7e),1)) #
报错语句中就会看到
该项目也可以叫做Java Vulnerability Code(Java漏洞代码)。
每个漏洞类型代码默认存在安全漏洞（除非本身不存在漏洞），相关修复代码在注释里。具体可查看每个漏洞代码和注释。
由于服务器到期，在线的Demo网站已不能使用。
登录用户名密码：
admin/admin123
joychou/joychou123
写这个呢是因为我在前面学java的基础漏洞审计的时候，我自己在Typora中的笔记因为图床的问题，做的笔记截图全部都不见了，所以前面的笔记就作废了，然后在做这个项目的漏洞的时候再网上没有找到完整的做题笔记，我就想着自己也做嘛就写一个笔记下来记录自己的java学习过程
项目地址JoyChou93/java-sec-code: Java web common vulnerabilities and security code which is base on springboot and spring security (github.com)
sql
less-1
@RequestMapping("/jdbc/vuln")
public String jdbc_sqli_vul(@RequestParam("username") String username) {
StringBuilder result = new StringBuilder();
try {
Class.forName(driver);
Connection con = DriverManager.getConnection(url, user, password);
if (!con.isClosed())
System.out.println("Connect to database successfully.");
// sqli vuln code
Statement statement = con.createStatement();
String sql = "select * from users where username = '" + username + "'";
logger.info(sql);
ResultSet rs = statement.executeQuery(sql);
while (rs.next()) {
String res_name = rs.getString("username");
String res_pwd = rs.getString("password");
String info = String.format("%s: %s\n", res_name, res_pwd);
result.append(info);
logger.info(info);
}
rs.close();
con.close();
} catch (ClassNotFoundException e) {
logger.error("Sorry,can`t find the Driver!");
} catch (SQLException e) {
logger.error(e.toString());
}
return result.toString();
}
第一关是一个很基础的sql注入漏洞就是
String sql = "select * from users where username = '" + username + "'";
logger.info(sql);
ResultSet rs = statement.executeQuery(sql);
这一段代码，就是基础的就是一个正常数数据库拼接，然后我的数据库里面有admin这个用户直接拼接上去是这样的效果
image-20220921180701810
闭合语句
" + username + "====admin' union select 1,version(),user()--+
还是很简单就简单说一下，从字符串中的'admin' union select 1,2,3--+
修复方式：预编译修复
String sql = "select * from users where username = ?";
PreparedStatement st = con.prepareStatement(sql);
st.setString(1, username);
less-2
@GetMapping("/mybatis/vuln01")
public List<User> mybatisVuln01(@RequestParam("username") String username) {
return userMapper.findByUserNameVuln01(username);
}
mybatis注入，这是一个存在注入语句的
这里可以直接看出来它是一个通过username这个字段去寻找参数值的，但是数据库查询肯定会存在sql语句的执行不可能不存在，这个时候我们追究其原理
直接追踪找到接口
@Select("select * from users where username = '${username}'")
List<User> findByUserNameVuln01(@Param("username") String username);
我们发现它是用的$符号去活得参数值，这种方式的话是注解配置方案是springboot和spring里面常见的配置方式
Mybatis获取值的方式有两种，分别是${} 和 #{}。这是关于用ssm组合写的框架会存在的sql注入
动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${}。
在下面的语句中，如果 username 的值为 zhangsan，则两种方式无任何区别：
select * from user where name = #{name};
select * from user where name = ${name};
其解析之后的结果均为
select * from user where name = 'zhangsan';
但是 #{} 和 ${} 在预编译中的处理是不一样的。#{} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：
select * from user where name = ?;
而 ${} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成
select * from user where name = 'zhangsan';
以上，#{} 的参数替换是发生在 DBMS 中，而 ${} 则发生在动态解析过程中。
#{}:解析的是占位符问号，可以防止SQL注入，使用了预编译。
${}:直接获取值
还是拼接就i行了
admin' union select 1,@@version，3 --+
image-20220926185431205
修复方案就是用#{},不要使用${}
less-3
# 是通过prepareStatement的预编译的，会对自动传入的数据加一个单引号。
如：order by #{orderBy}，如果传入的时间是 ，则会被解析为 order by ‘update_time’ (这样排序是无效的，这也是为什么不能用#号传参的原因)。
@GetMapping("/mybatis/vuln02")
public List<User> mybatisVuln02(@RequestParam("username") String username) {
return userMapper.findByUserNameVuln02(username);
}
还是老规矩先追下去看
image-20220926191410973
发现没有方法再想一想往上看一看发现一个注解@Mapper注解这个注解的意思就是它有一个映射文件反手翻一翻
image-20220927103517699
然后就发现了这个select语句
<select id="findByUserNameVuln02" parameterType="String" resultMap="User">
select * from users where username like '%${_parameter}%'
</select>
追到后面发现一个like，like是模糊查询的意思
简单的插播一下like注入的原理
like查询时，如果用户输入的值有"_"和"%"，则会出现这种情况：用户本来只是想查询"abcd_"，查询结果中却有"abcd_"、"abcde"、"abcdf"等等；用户要查询"30%"（注：百分之三十）时也会出现问题。
然后：_parameter是Mybatis的内置参数，代表整个参数
我们还是直接拼接就可以了
http://localhost:8080/sqli/mybatis/vuln02?username=admin' union select 1,2,3 --+
image-20220927102725722
考点
通过配置文件的映射直接追踪过来是没有select语句的
less-4
@GetMapping("/mybatis/orderby/vuln03")
public List<User> mybatisVuln03(@RequestParam("sort") String sort) {
return userMapper.findByUserNameVuln03(sort);
}
传入的值变了是个sort，sort是短的，还是追踪sql源码来看看
<select id="findByUserNameVuln03" parameterType="String" resultMap="User">
select * from users
<if test="order != null">
order by ${order} asc
</if>
</select>
看到了是order by 然后后面有asc代表的是升序排布，desc是降序排布因为是
拼接语句选择用updataxml吧直接and拼接起来就实现了
**http://localhost:8080/sqli/mybatis/orderby/vuln03?sort=id and (updatexml(1,concat(0x7e,(select version()),0x7e),1)) #
报错语句中就会看到