JAVA安全—SpringBoot框架&MyBatis注入&Thymeleaf模板注入

🕗 发布于 2024-12-11 19:20 spring boot java 安全 MyBatis注入 Thymeleaf模板注入

前言

之前我们讲了JAVA的一些组件安全，比如Log4j，fastjson。今天讲一下框架安全，就是这个也是比较常见的SpringBoot框架。

SpringBoot框架

Spring Boot是由Pivotal团队提供的一套开源框架，可以简化spring应用的创建及部署。它提供了丰富的Spring模块化支持，可以帮助开发者更轻松快捷地构建出企业级应用。Spring Boot通过自动配置功能，降低了复杂性，同时支持基于JVM的多种开源框架，可以缩短开发时间，使开发更加简单和高效。

先来了解一下这个框架里面常见的东西

路由映射

@RequestMapping, @GetMapping, 和 @PostMapping 注解用于定义HTTP请求的映射路径。

@RequestMapping 是通用注解，而 @GetMapping 和 @PostMapping 是其简化形式，分别用于处理GET和POST请求。

参数传递

@RequestParam 注解用于从HTTP请求中提取参数，使得控制器方法可以访问并使用这些参数。

数据响应

@RestController 注解用于标识一个类是RESTful风格的控制器，它包含了 @ResponseBody 和 @Controller 的功能。
@ResponseBody 表示方法的返回值将直接作为HTTP响应体返回给客户端。
@Controller 通常用于标识传统的MVC控制器，而 @RestController 更适用于RESTful风格的控制器。

项目构建

新建一个项目。

这个服务器URL是默认从官网获取架构，如果说你觉得网络卡的话，你可以改为https://start.aliyun.com，去从阿里云获取架构。

版本的话目前最新的就是3.4.0了。

如果你前面用的是阿里云的架构网址，那么就会只显示2.x的版本，就是说阿里云认为这几个版本比较稳定，所以只提供这几个。

我这里网速慢，就用阿里云的2.3.16版本，依赖选择Spring Web。

创建成功之后可以看到这个框架自带了很多外部库，什么Log4j啊啥的，就不需要我们自己去下载了，比较方便。

新建一个类叫controller.IndexController。

我们写入以下代码。

package com.sf.maven.springboot.controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class IndexController {
    @RequestMapping("/wlw")
    public String index(){
        return "wlw";
    }

}

接着回到Application.java这里运行起来。

此时便可以在控制台这里看到启动了8080端口也就是Tomcat服务，这是它自带的我并没有去配置它。

如果端口被占用的话，你可以在resources目录下的application.properties配置文件进行修改。

访问8080端口，返回的确是我们写入的东西。

我们稍微修改一下，添加POST请求和GET请求。

package com.sf.maven.springboot.controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class IndexController {
    @RequestMapping(value = "/wlwget",method = RequestMethod.GET)  //get请求
    public String getmethod(){
        return "wlwget";
    }

    @RequestMapping(value = "/wlwpost",method = RequestMethod.POST) //post请求
    public String postmethod(){
        return "wlwpost";
    }

}

我们运行起来再访问一下，可以看大此时我们再访问wlw的话会报错，这个就是典型的SpringBoot报错页面。

get提交wlwget，则是正常返回。

我们用postman这个工具去请求wlwpost，也是正常返回信息。

现在我们修改代码添加参数来试一下，稍微修改一下代码，传递参数name。

get请求。

post请求。

MyBatis注入

MyBatis是SpringBoot中用的较多的一个数据库驱动，它存在的一个安全问题就是，使用MyBatis的时候遇到了#{}和${}可能导致sql注入的问题。

先创建一个项目重新来吧，命名为MyBatis-demo。

依赖项就选择Spring web，MyBatis Framework，MySQL Driver。

数据库的话我这里是用phpstudy，简单方便，我是在user库里面新建一个user表来进行测试。

在pom文件这里可以看到，外部包都被导入了。

接着再来配置一下数据库连接，把src/main/resources/ 目录下的 application.properties文件改为application.yml

清空里面的内容。写入以下的内容。

spring:
    datasource:
        url: jdbc:mysql://localhost:3306/user
        username: root
        password: 123456
        driver-class-name: com.mysql.cj.jdbc.Driver

新建一个类叫entity.User。

接着我们先写入以下代码，要和数据库的字段对应。

然后右键选择生成，选择Setter和Getter，把显示的三个东西都选上确定即可。

自动生成了方法代码。

同理选择toStron()方法自动生成。

再新建一个类叫mapper.Usermapper。

写入以下的代码，创建sql查询的接口。

package com.sf.maven.mybatisdemo.mapper;


import com.sf.maven.mybatisdemo.entity.User;
import org.apache.ibatis.annotations.Mapper;
import org.apache.ibatis.annotations.Select;


import java.util.List;

@Mapper
public interface Usermapper {
    // ${id} 是拼接写法，#{id} 是预编译写法
    @Select("select * from name")//通过ID查询
    public List<User> findAll();

    @Select("select * from name where ID=1")
    public List<User> findID();
}

同理再创建一个constroller类去调用我们的sql查询，新建一个类叫constroller.Getnamecontroller，

这个和上面的那个 web 应用访问一样，就是返回数据为从数据库获取信息。

package com.sf.maven.mybatisdemo.constroller;
import com.sf.maven.mybatisdemo.entity.User;
import com.sf.maven.mybatisdemo.mapper.Usermapper;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;
import java.util.List;

@RestController
public class Getnamecontroller {
    @Autowired
    private Usermapper Usermapper;

    @GetMapping("/Getpasswd")//定义请求路径
    public List<User> getpasswd(@RequestParam Integer id) {
        List<User> all = Usermapper.findAll();//调用sql查询接口
        return all;
    }

    @GetMapping("/GetID")
    public List<User> getID() {
        List<User> all = Usermapper.findID();
        return all;
    }

}

把搞好的项目运行起来，访问路径可以查看到表的内容，说明是执行了我们设定好的sql语句。

接下来就讲一下产生的安全问题，改一下刚才的代码。

运行起来访问一下，这次要加上参数才可以进行查询。

我们设置的sql语句是 select * from name where id like '%${id}%'，此时我们只要把 id=1 的查询改为 id=1%' or 1=1# 即可产生sql注入，这是因为当参数拼接上去之后sql语句就变成这样子了

select * from name where id like '%1%' or 1=1#' 。

只是不知道为啥我这里会报错，sql语句没问题呀。

我索性去到数据库那里试一下，发现是可以执行没有报错，你妹的。

关于为啥会产生sql注入，可以看一下这篇文章，在Java中呢，sql注入是非常少的，但是不代表没有。

Mybatis 框架下 SQL 注入攻击的 3 种方式，真是防不胜防！ - 知乎

【安全】mybatis中#{}和${}导致sql注入问题及解决办法_${}sql注入-CSDN博客

Thymeleaf模板注入

我们在浏览一些网站时，会发现有些网站的页面十分的精美，这是由于网站开发引用了一些模板。而在SpringBoot中，Thymeleaf是个不安全的模版，日常开发中语言切换页面，主题更换等传参导致的 SSTI 注入安全问题。

新建一个项目叫Thymeleaf demo。

依赖项选择Thymeleaf和Spring web。

新建一个类叫controller.thymeleafcontroller。

我们写入个比较简单的代码，什么意思呢，就是访问index，由于我没有使用模板渲染那么就会返回个Hello World。

运行起来访问index，确实返回了Hello World，我这里就比较简陋的测试一下，实际情况中一般都是十分精美的页面。

那么现在我们使用一下模板渲染，在配置文件中可以看到模板的路径为templates/。

我们在resources目录下新建一个templates目录。

写一个index.html文件当作模板。

修改一下调用文件，调用我们的index模板并输出hello wlw。

运行代码访问index，然而却并没有返回hello wlw，而是返回了index。

这是为啥呢，原来是@RestController包含了 @ResponseBody 和 @Controller 的功能。@ResponseBody index当做字符串显示操作，所以我们更换为@Controller 没有ResponseBody index那么就会当做资源文件去渲染。

改了之后再访问返回了hello wlw，说明成功调用了模板。

查看页面源码，发现和我们写的index.html文件差不多。

OK那么我们现在来看一下安全问题，上面我们说过安全问题就是由于模板的调用，我们可以看到当前的lang=ZH_CN就是调用了中文页面的模板。

当我们把lang的值换为en那么就会调用英文的模板，思考一下我们把lang的值换位Java代码是否能实现rce。

注入漏洞存在与3.0.0—3.0.11版本，2.x版本的应该也会存在漏洞，但是我们的这个包是从阿里云拉取的。阿里云的东西一般都比较稳定没啥漏洞，我们替换一下pom文件。

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>org.springframework</groupId>
    <artifactId>java-spring-thymeleaf</artifactId>
    <version>1.0</version>

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <!--latest-->
        <version>2.2.0.RELEASE</version>
    </parent>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>

    </dependencies>

    <properties>
        <java.version>1.8</java.version>
    </properties>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>
</project>

替换了之后我们可以看到版本变为了2.2.0release。

稍微修改一下调用文件，使其可以传递参数lang。

我们再新建一个index-en.html模板文件，啥也不用写。

运行代码访问啥也没有，因为我们模板啥也没写。

把index-en换成下面的Java代码，成功弹出计算机。

__$%7bnew%20java.util.Scanner(T(java.lang.Runtime).getRuntime().exec(%22calc%22).getInputStream()).next()%7d__::.x

至于poc怎么构造的后面有机会再说了，或者看一下以下文章。

thymeleaf模板注入学习与研究--查找与防御

Thymeleaf模板生成过程以及注入原因分析 - 先知社区

总结

本次从开发的方面讲了两个SpringBoot框架常见的安全问题，感觉有点强度了，哎。

最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。

原文地址：https://blog.csdn.net/2301_76227305/article/details/144324621

免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

上一篇：bme280传感器的IIC命令通信（学习汇总）
下一篇：ubuntu下Qt5自动编译配置QtMqtt环境

.NET(C#) 如何配置用户首选项及保存用户设置
.NET(C#) 如何配置用户首选项及保存用户设置
阅读更多2024-12-14
【最新】北大数字普惠金融指数数据集-省市县（2011-2023年）
郭峰,王靖一,王芳,孔涛,张勋,程志云.测度中国数字普惠金融发展:指数编制与空间特征[J].经济学(季刊),2020,19(04):1401-1418.时间跨度：省级和城市级指数时间跨度为2011-2
阅读更多2024-12-14
GESP202412 四级【Recamán】题解（AC）
a11ak−1−kkakak−1−kak−1k小杨想知道 Recamán 数列的前n项从小到大排序后的结果。手动计算非常困难，小杨希望你能帮他解决这个问题。
阅读更多2024-12-14
IDEA遇到EasyConnect中的网络资源无法访问的问题
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。原文链接：https://blog.csdn.net/wanshanyu_/article/de
阅读更多2024-12-14
双目摄像头标定方法
此时已经完成标定，左下角为反投影误差，右边为外参可视化。将双目左右目拍的图像上传（左右目最好不少于20张）此时回到主页面，即可看到成功导出。把这些误差大的删除即可。
阅读更多2024-12-14
Servlet、omcat服务器架构与工作原理
Servlet是运行在服务器端的Java程序，它的主要职责之一是接收并处理来自客户端（如浏览器）的HTTP请求。当客户端发送一个请求到服务器时，Servlet可以解析请求中的信息，例如请求的URL路径
阅读更多2024-12-14
Vue生命周期钩子函数：深入解析与实践
作为高级Vue前端开发人员，对Vue组件的生命周期钩子函数有着深刻的理解是至关重要的。生命周期钩子函数是指在Vue组件的创建、更新、销毁等过程中，Vue自动调用的一系列方法。通过这些钩子函数，我们可以
阅读更多2024-12-14
安卓开发--使用android studio发布APP
app发布
阅读更多2024-12-14
数据结构与算法学习笔记----拓扑排序
@ author: 明月清了个风。
阅读更多2024-12-14
python 将数据保存到现有的Excel文件的新工作表
out_file = ‘query.xlsx’df1 = pd.DataFrame(out_data)若直接写入：df1.to_excel(out_file, index=False, sheet_n
阅读更多2024-12-14