对某OA的一次审计

ly0n

2022-02-28

JavaSec

前言

学了一段时间了JAVA代码审计了，也不知道学的如何，索性就找了一套代码尝试审计一下，刚开始不知道如何下手，大部分都是从功能点入手的。

FastJson反序列化

该项目是maven，首先查看了pom.xml，首先看是否引用了存在漏洞的依赖，在配置好环境之后看了下pom.xml文件，发现有fastjson，采用的版本也是存在漏洞的，但是利用未成功。放弃

SQL注入

大致浏览pom.xml代码时发现了mybatis，mybatis中存在${}SQL注入，全局搜索${},发现在/src/main/resources/mappers/address-mapper.xml和/src/main/resources/mappers/notice-mapper.xml中存在${}

接下来就去看那个地方对该参数进行了调用,往上跟踪cn.gson.oasys.mappers.NoticeMapper接口——>sortMyNotice追踪到/src/main/java/cn/gson/oasys/controller/inform/InformController.java的如下代码中

可以看到baseKey是可控的，直接从前端传入，下面给的有url,然后直接访问就行
http://localhost:8089/informlistpaging?baseKey=1

报错注入

通过构造payload可以使用报错注入的方式在控制台处得到返回的报错信息
Payload
http://localhost:8089/informlistpaging?baseKey=1' and (select extractvalue(“0x7e”,concat(‘~’,(select user())))a) and ‘1’=’1