安全路透社
当前位置:安全路透社 > 网络转载 > 正文

一次测试引发的探索:关于分号在java web中的一个特性

*本文原创作者:wadcl

还记得IIS的解析漏洞吗?xx.asp;.jpg。而最近对java网站进行测试的时候发现了一个问题,也是由分号引起的,也因此去查看了一下源码,也许很多人已经知道了这个问题,但是也许有的人不知道,所以我将内容记录下来了并进行了分享。

起因

我在测试的时候的一个功能的配置文件片段为:

<bean id="viewResolver"

        class="org.springframework.web.servlet.view.InternalResourceViewResolver">

        <property name="prefix" value="/view/" />

        <property name="suffix" value=".jsp" />

</bean>

代码片段:

  public static String PRE = "landingpage/";

  @RequestMapping({"online"})
  public String toOnline(String version) { if (StringUtils.isBlank(version)) {
      version = "1.0";
    }
    return PRE + "online-" + version;
  }

很明显,version的值是可以通过客户端传递过来的,也就是返回的文件路径是可以被控制的:

当version=xxx时,返回的文件应该是:/view/landingpage/online-xxx.jsp

所以这一功能是存在任意文件下载漏洞的,前提是我们如何把后面的.jsp给分割出去,在很多时候我们会使用%00等空字符进行截断,但是这里并不能成功。

而经过一些测试,我发现分号在这里能有截断的功能,也就是当我输入../../WEB-INF/web.xml;的时候,我能够获取到web.xml的配置信息:

1.jpg

怀疑

漏洞已经测试成功,但是为什么分号能够有截断的功能呢?

我开始以为是spring mvc的框架中的问题,但似乎并不是,我又怀疑是tomcat中间件的问题,似乎也不全是。

如何验证这些疑问呢?

找一个java的网站,在路径的结尾也就是问号的前面输入:http://www.xxx.com/sdaf.jsp;xxxx?id=xx,你会发现和http://www.xxx.com/sdaf.jsp?id=xx返回的结果一样的,并没有提示找不到对应的页面。

也就是说;xxxx在处理的过程中与前面的内容被分隔开了。

也就是说这似乎是java web的一个普遍现象,而不仅仅是某个中间件或者spring的问题。

调试

于是直接写了一个简单的jsp的代码,来调试这个过程:

<% request.getRequestDispatcher(request.getParameter("filename")+".doc").include(request, response); %>

作为突破口,使用tomcat作为中间件进行调试,打开接口requestDispatcher的一个实现类:ApplicationDispatcher

2.jpg

在ApplicationDispatcher中设置断点进行调试

访问下面地址来触发断点:

http://localhost:8080/Spring/test123.jsp?filename=/WEB-INF/web.xml;

这时发现doForward函数中的变量servletPath中的值为:WEB-INF/web.xml,已经将分号以及后面的数据给去除了

3.jpg

而经过变量的追踪,就发现在经过wrequest.setServletPath(servletPath)这个方法前:wrequest.getServletPath=”test123.jsp”,而之后变成了/WEB-INF/web.xml,所以问题出在servletPath的获取上:servletPath的获取应该是在实例化的时候,也就是在代码中:

public ApplicationDispatcher   (Wrapper wrapper, String requestURI, String servletPath, String pathInfo, String queryString, String name) {
        super();
        // Save all of our configuration parameters
        this.wrapper = wrapper;
        this.context = (Context) wrapper.getParent();
        this.requestURI = requestURI;
        this.servletPath = servletPath;
        this.pathInfo = pathInfo;
        this.queryString = queryString;
        this.name = name;
        if (wrapper instanceof StandardWrapper)
            this.support = ((StandardWrapper) wrapper).getInstanceSupport();
        else
            this.support = new InstanceSupport(wrapper);

}

由此看出来servletPath的值也是从外部传递进来的

实例化该类的对象为:ApplicationContext.getRequestDispatcher:

4.jpg

查看代码

5.jpg

以及调试时发现初始的path传递的值为

6.jpg

而最终返回的内容的值为:/WEB-INF/web.xml

也因此定位了关键位置:

7.jpg

而这里并没有结束,因为在这个方法中,除了分号的一个截断外,还有一个符号也会被分割,就是问号“?”:

8.jpg

结束

也就是说在java web中我们使用分号和问号,在某种程度上来说,是可以起到截断的作用的,但会不会如xx.asp;.jpg一样,导致解析漏洞呢,事实上是没有的,当我们去访问http://www.xxx.com/1.jsp;.jpg的时候,事实上访问的是1.jsp这个文件,而不是1.jsp;.jpg这个文件,当我们上传了1.jsp;.jpg文件时,通过web是访问不到的。

PS:java servlet的重定向和转发:

request.getRequestDispatcher("http://www.xx.com").forward(request,reponse);
response.sendRedirect("/xxx.jsp");

*本文原创作者:wadcl

未经允许不得转载:安全路透社 » 一次测试引发的探索:关于分号在java web中的一个特性

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册