Java代码审计之JFinalCMS

文章预览

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把“ 亿人 安全 “ 设为星标 ”， 否则可能就看不到了啦 原文首发在先知社区 https://xz.aliyun.com/t/14957 前言 看到星球发布了一个作业，由于考试没及时弄。所以就自己随便看看了，这套系统确实漏洞很多，可以说是靶场。。。危险操作几乎都没有做过滤，而且很久没更新了 后台任意文件删除 这个洞提了cve，看大家都在水我也水一个 漏洞很简单，甚至不需要白盒，黑盒能直接测出来，但是代码审计还是看代码吧，我审这个的时候也是直接看的代码，代码位置在 src/main/java/com/cms/controller/admin/DatabaseController.java  文件下的 /delete  接口 跟进这个delete方法 可以看到对这个参数没有做任何的检测，仅仅只看了文件是否存在 poc如下 POST / admin / database / delete HTTP / 1.1 Host : 127.0 . 0.1 : 8888 Cache - C ………………………………