【转】某租车系统JAVA代码审计-安全小百科

*本文原创作者：ADog，属于FreeBuf原创奖励计划，未经许可禁止转载

前言

由于开源的JAVA WEB项目不是很多，这里找到一个没有用struct2或是spring框架的cms，希望借此cms来帮助新手敲开JAVA代码审计的大门，文章会详细写一些笔者进行审计过程走过的路，漏洞利用过程并不是多高深，大牛可以绕过，此篇权当抛砖引玉~

0×00 cms简介

系统基于租车业务场景而搭建的O2O服务平台，可为用户提供商务租车、接送机、旅游租车、企业租车、自驾租车、婚庆用车等自助租车服务。

系统包含车辆库管理、门店管理、员工管理、司机管理、订单管理、活动管理、评价管理、财务管理、统计等。

cms的下载地址：http://down.admin5.com/jsp/135501.html

下载完讲一下安装这块，笔者的环境使用是tomcat8.5+phpmystudy，tomcat8.5部署web这个就不多说了，多百度百度自然就会了，这里的phpmystudy主要是需要使用到其中的mysql数据库，单独开启mysql数据库也行~

这里下载完有一个使用说明，对整个安装流程介绍的还是非常详细的，这里不再赘述~

0×01 cms功能整理

这是网站首页，然后我们来进行一个功能上的浏览与汇总，这里可能是习惯问题，笔者在做代码审计的时候一般不会先看代码，而是根据功能点去进行一个代码的回溯，这样做会减少大量的代码审计时间，但是缺点就是一些不在显示页面的功能点所存在的漏洞可能就会挖掘不到，这里选择可以因情况而异~

第一个功能点可能就是这个用户的注册功能，那用户的注册一般所存在的问题大多为sql注入、xss漏洞、逻辑漏洞、头像处getshell等等，顺着这样的思路去找，效率上应该会大大提高。

第二个功能点可能就是这个主功能：租车服务。

但是这里点击“立即预定”会跳转到用户界面，先放着，再看看其他功能点。

但是这个cms终究是一个小型的cms，整个功能不是很多，其余功能点并未找到~

那么我们来进行汇总！

审计的时候首先测试用户功能点，这里首先是最常见的一些逻辑漏洞（任意密码重置这类）、SQL注入、存储型xss漏洞、后台头像getshell、订单遍历等等，之后再测试租车功能，看看有无逻辑漏洞（1元购）和订单遍历（修改ID获取其他用户的信息）等等，整个流程肯定大抵就是这样，下面进入审计实战！

0×02 cms审计实操

首先有一个获取手机动态码，那么这里由于是本地搭建，肯定发不出去，分析一下，这里存在的潜在风险可能就是短信炸弹，这里看了代码好像并没有加上一些检查机制，炸弹应该是存在的。

这里说下怎么进行代码的回溯，我是采用的search，比如说这里的功能点为getTelCode，然后到eclipse中去进行全局的搜索，基本不到一分钟就能定位到代码。

由于注册功能不完善，这里只能到后台手工添加了一个账号。

这里的“忘记登录密码”功能被阉割了，依然无法进行测试！

进入到个人中心，首先是功能点所引发的潜在漏洞汇总，映入眼帘的就是一个基本资料的修改：存储型xss OR SQL注入？？

包括这里的资料修改和收货地址修改其实都存在上述两个问题，，这里选择一个进行代码跟踪和测试即可~

订单功能，会不会出现订单的遍历，那么跟踪代码就应该看对订单的ID有无校验？

优惠券这里没开放，最后就是积分功能，那么会不会存在使用积分付费，然后由于校验不完整，使用负积分付费从而导致积分反增不减这样的漏洞出现？

首先测试来修改用户的“基本资料”，这里可以fuzz一下后台语句，可以修改为woaini”<>，然后看回显，，其实就可以大致猜出后台代码。

修改完可以看到没有任何的顾虑，那么这里的存储型xss石锤！

虽然这里是表单，但是后台管理员查看用户信息时却不需要闭合表单，因此直接插入xss语句即可~

这里再来找一下源代码，看看到底怎么写的！

可以看到这里都是直接request获得，并没有任何过滤，看代码的更大阴谋就是看看这里的sql语句怎么实现的，首先我们是登录用户，然后姓名、地址、电话什么的都没输错，因此进入最后一个else语句。

<br />
flag=ss.addAddress(user.getId(), name, tel, address);   //这里是用来实现sql语句的，跟进！</p>
<p>———————————–*分割线*———————————————————-</p>
<p>	public Integer addAddress(Integer userId, String name, String tel, String address) {<br />
		Object args[] = { name, tel, address, userId };<br />
		String sql = “insert into user_address (user_address_name,user_address_tel,user_address_content,user_address_user) values(?,?,?,?)”;<br />
		Serializable flag = jdbc.insertBackId(sql, args);<br />
                /*采用预编译*/<br />
		jdbc.close();<br />
		return Integer.valueOf(flag.hashCode());<br />
	}

flag=ss.addAddress(user.getId(), name, tel, address); //这里是用来实现sql语句的，跟进！

—————————————————–*分割线*—————————————————————————————

public Integer addAddress(Integer userId, String name, String tel, String address) {

Object args[] = { name, tel, address, userId };

String sql = “insert into user_address (user_address_name,user_address_tel,user_address_content,user_address_user) values(?,?,?,?)”;

Serializable flag = jdbc.insertBackId(sql, args);

/*采用预编译*/

jdbc.close();

return Integer.valueOf(flag.hashCode());

}

可以看到这里的sql语句采用的是预编译，因此sql注入漏洞可能不存在，但是预编译最怕的就是字符串的直接拼接，这里在sql语句里看了全部的sql语句，并不存在这样的案例，因此sql这条路可能走到底了。

不过不用慌，继续审计！下面来重点关注这个订单功能，这是整个cms的核心所在！

这里由于不存在数量这样的参数，因此修改数量为负数这样的情况并不存在，实际上是从session来获取用户的积分，因此积分上应该也不存在漏洞，最后只能提交订单然后抓包看参数进行代码溯源~

这里由于都是通过id这样的参数来进行传递，那么可以在审计的过程中留意id是否判断所属用户，也就是越权的问题，最重要的可能就是这里的price参数有无检查！

然后全局搜索，找到可疑函数，确定为添加订单的函数。

<br />
public void addGoodsOrder(HttpServletRequest request, HttpServletResponse response)throws ServletException,IOException{<br />
		response.setContentType(“text/html;charset=UTF-8”);<br />
		HttpSession session = request.getSession(true);<br />
		Object ordinary_user=session.getAttribute(“ordinary_user”);<br />
		String tem_store_id=request.getParameter(“store_id”);//门店id<br />
		String price=request.getParameter(“price”);<br />
		String tem_address_id=request.getParameter(“address_id”);<br />
		String tem_goods_id[]=request.getParameterValues(“goods_id”);<br />
		String content=request.getParameter(“content”);<br />
		String serviceDate=request.getParameter(“serviceDate”);<br />
		Integer store_id=null;<br />
		Integer address_id=null;<br />
		Integer goods_id=null;<br />
		Integer order_id=0;<br />
                    ……………略去部分代码……………<br />
		if(ordinary_user==null){<br />
			json=”{“tip”:”请登录之后再操作”,”status”:500}”;<br />
		}else{<br />
			User user=(User)ordinary_user; //这里添加订单信息<br />
			//order_id=ss.addGoodsOrder(2, 1, 1, 1,serviceDate, null, content, user.getId(),null, store_id, null, price, 1, 1, address_id, 2,”3″, user.getId().toString(), null, goods_id, 1,””);<br />
			if(order_id>0){<br />
				if(tem_goods_id.length>0){<br />
					for(int i=0;i<tem_goods_id.length;i++){<br />
						ss.addGoodsAndOrder(Integer.parseInt(tem_goods_id[i]),order_id);<br />
					}<br />
				}<br />
				json=”{“tip”:”操作成功”,”status”:200}”;<br />
			}else{<br />
				json=”{“tip”:”服务器内部错误”,”status”:500}”;<br />
			}<br />
}

public void addGoodsOrder(HttpServletRequest request, HttpServletResponse response)throws ServletException,IOException{

response.setContentType(“text/html;charset=UTF-8”);

HttpSession session = request.getSession(true);

Object ordinary_user=session.getAttribute(“ordinary_user”);

String tem_store_id=request.getParameter(“store_id”);//门店id

String price=request.getParameter(“price”);

String tem_address_id=request.getParameter(“address_id”);

String tem_goods_id[]=request.getParameterValues(“goods_id”);

String content=request.getParameter(“content”);

String serviceDate=request.getParameter(“serviceDate”);

Integer store_id=null;

Integer address_id=null;

Integer goods_id=null;

Integer order_id=0;

……………略去部分代码……………

if(ordinary_user==null){

json=“{“tip”:”请登录之后再操作”,”status”:500}”;

}else{

User user=(User)ordinary_user; //这里添加订单信息

//order_id=ss.addGoodsOrder(2, 1, 1, 1,serviceDate, null, content, user.getId(),null, store_id, null, price, 1, 1, address_id, 2,”3″, user.getId().toString(), null, goods_id, 1,””);

if(order_id>0){

if(tem_goods_id.length>0){