J2EEFAST v1.6.0 安全审计教学文档<\/h1>

项目概述<\/h2>

项目基本信息<\/h3>

项目名称<\/strong>: J2EEFAST<\/li>
版本<\/strong>: v1.6.0 (分析基于v2.6.0版本)<\/li>
项目类型<\/strong>: Java EE企业级快速开发平台<\/li>

项目定位<\/strong>: 中小企业开源免费后台框架平台<\/li> <\/ul>
技术架构<\/h3>

核心框架<\/strong>: Spring Boot 2.X<\/li>
安全框架<\/strong>: Apache Shiro 1.X<\/li>
模板引擎<\/strong>: Freemarker<\/li>
前端框架<\/strong>:

AdminLTE 2.3.8<\/li>
Bootstrap 3.3.7<\/li>
Bootstrap-Table 1.11.0<\/li>
JQuery 3.3.1<\/li> <\/ul> <\/li>
持久层<\/strong>: MyBatis-Plus 3.3.1<\/li>
定时任务<\/strong>: Quartz<\/li>
数据库连接池<\/strong>: Druid 1.10.1<\/li>
工作流引擎<\/strong>: flowable 6.4.2<\/li> <\/ul>
安全漏洞分析<\/h2>
1. Shiro反序列化漏洞<\/h3>
漏洞原理<\/h4>

影响版本<\/strong>: Shiro 1.9.0<\/li>
根本原因<\/strong>: 默认密钥使用问题<\/li>
技术背景<\/strong>: Shiro使用RememberMe功能时，如果配置固定密钥，攻击者可构造恶意反序列化载荷<\/li> <\/ul>
代码分析<\/h4>
\/\/ 密钥配置逻辑分析 <\/span><\/span><\/span><\/span>.<\/span>setCipherKey<\/span>()<\/span> 方法用于设置加密密钥<\/span> <\/span><\/span> <\/span><\/span>\/\/ 项目二开逻辑： <\/span><\/span><\/span><\/span>if<\/span> (<\/span>未配置密钥<\/span>)<\/span> {<\/span> <\/span><\/span> 使用随机生成密钥<\/span> \/\/ 相对安全 <\/span><\/span><\/span><\/span>}<\/span> else<\/span> {<\/span> <\/span><\/span> 使用配置的密钥<\/span> \/\/ 可能存在风险 <\/span><\/span><\/span><\/span>}<\/span> <\/span><\/span><\/code><\/pre>配置文件位置<\/h4> 文件路径<\/strong>: application.yml<\/code><\/li> 关键配置项<\/strong>: Shiro相关密钥配置<\/li> <\/ul> 风险判定<\/h4> 高风险情况<\/strong>: 开发者未修改默认密钥即上线部署<\/li> 安全建议<\/strong>: 生产环境必须修改默认密钥为高强度随机密钥<\/li> <\/ul> 2. Swagger未授权访问漏洞<\/h3> 漏洞详情<\/h4> 组件<\/strong>: Swagger API文档<\/li> 风险类型<\/strong>: 信息泄露<\/li> 根本原因<\/strong>: Shiro配置中Swagger路径未加入权限控制<\/li> <\/ul> 配置分析<\/h4> \/\/ shiro.config 配置分析 <\/span><\/span><\/span>\/\/ Swagger路径被设置为匿名访问 <\/span><\/span><\/span>\/\/ 导致API文档无需认证即可访问 <\/span><\/span><\/span><\/code><\/pre>影响范围<\/h4> 暴露所有API接口文档<\/li> 可能泄露接口参数、数据结构等敏感信息<\/li> <\/ul> 3. SQL注入漏洞分析<\/h3> 漏洞检测方法<\/h4> 关键词<\/strong>: ${param}<\/code> (MyBatis危险写法)<\/li> 检测工具<\/strong>: 全局搜索XML文件中的${}<\/code>表达式<\/li> <\/ul> 案例1: 不存在的SQL注入<\/h4> 漏洞点定位<\/h5> <\/span> <\/span><\/span>${sql_filter} 参数采用危险写法 <\/span><\/span><\/code><\/pre>安全机制分析<\/h5> AOP切面注解<\/strong>: @DataFilter<\/code><\/li> 拦截位置<\/strong>: 方法执行前<\/li> 安全处理<\/strong>: 对sql_filter<\/code>参数进行清空操作<\/li> <\/ul> 调用链分析<\/h5> 查找findUserByRolePage<\/code>方法<\/li> 检查是否使用@DataFilter<\/code>注解<\/li> 确认参数是否被AOP切面处理<\/li> <\/ol> 案例2: 真实存在的SQL注入<\/h4> 漏洞特征<\/h5> 使用${}<\/code>表达式<\/li> 关键差异<\/strong>: 未使用@DataFilter<\/code> AOP切面注解<\/li> 参数直接传入未经过滤<\/li> <\/ul> 调用链追踪<\/h5> Mapper层<\/strong>: 使用${}<\/code>表达式<\/li> Service层<\/strong>: 直接传递参数<\/li> Controller层<\/strong>: 接收请求参数直接调用方法<\/li> <\/ol> 漏洞确认条件<\/h5> 参数未经过AOP切面处理<\/li> 控制层直接传递用户输入<\/li> 使用${}<\/code>而非#{}<\/code>表达式<\/li> <\/ul> 4. 百度富文本编辑器SSRF漏洞<\/h3> 漏洞链分析<\/h4> 关键方法调用链<\/h5> captureRemoteData(<\/span>String urlStr)<\/span> \/\/ 最终执行SSRF的方法 <\/span><\/span><\/span><\/span> ↑<\/span> <\/span><\/span>capture(<\/span>String[]<\/span> list)<\/span> \/\/ 图片抓取方法 <\/span><\/span><\/span><\/span> ↑<\/span> <\/span><\/span>invoke()<\/span> \/\/ 命令执行方法 <\/span><\/span><\/span><\/span> ↑<\/span> <\/span><\/span>exec()<\/span> \/\/ 参数处理入口 <\/span><\/span><\/span><\/span> ↑<\/span> <\/span><\/span>Controller层<\/span> \/\/ 请求入口 <\/span><\/span><\/span><\/code><\/pre>触发条件分析<\/h5> Action条件<\/strong>: ActionMap.CATCH_IMAGE<\/code><\/li> 参数来源<\/strong>: UEditor配置中catchImage<\/code>模块的fieldName<\/code>值<\/li> 默认配置<\/strong>: source<\/code>字段<\/li> <\/ol> 配置文件分析<\/h5> UEditor配置文件中的catchImage<\/code>配置项<\/li> 验证默认字段名和参数传递逻辑<\/li> <\/ul> 参数验证机制<\/h5> callback参数<\/strong>: 通过正则表达式验证格式<\/li> 安全绕过<\/strong>: 需要符合特定的参数格式要求<\/li> <\/ul> 攻击载荷示例<\/h4> \/\/ SSRF攻击示例代码结构 <\/span><\/span><\/span>\/\/ 通过构造特定的请求参数触发远程数据获取功能 <\/span><\/span><\/span><\/code><\/pre>安全审计方法论<\/h2> 1. Shiro安全审计要点<\/h3> 检查密钥配置是否使用默认值<\/li> 验证RememberMe功能的密钥强度<\/li> 确认会话管理配置的安全性<\/li> <\/ul> 2. SQL注入审计流程<\/h3> 关键词搜索<\/strong>: 全局搜索${}<\/code>表达式<\/li> 调用链分析<\/strong>: 追踪参数传递路径<\/li> AOP注解验证<\/strong>: 检查是否使用安全切面<\/li> 控制层验证<\/strong>: 确认参数过滤机制<\/li> <\/ol> 3. 组件安全配置检查<\/h3> Swagger等文档工具的访问控制<\/li> 第三方组件的安全配置<\/li> 不必要的服务端口和接口暴露<\/li> <\/ul> 4. 富文本编辑器安全审计<\/h3> 文件上传功能的安全性<\/li> SSRF漏洞的潜在风险点<\/li> XSS等客户端安全威胁<\/li> <\/ul> 修复建议<\/h2> 立即修复项<\/h3> Shiro配置<\/strong>: 修改默认密钥为高强度随机密钥<\/li> Swagger访问<\/strong>: 添加权限控制或生产环境禁用<\/li> SQL注入点<\/strong>: 将${}<\/code>改为#{}<\/code>预编译方式<\/li> <\/ol> 代码层面改进<\/h3> 参数过滤<\/strong>: 统一输入验证机制<\/li> AOP切面<\/strong>: 关键操作添加安全拦截<\/li> 日志监控<\/strong>: 增加安全事件日志记录<\/li> <\/ol> 架构安全建议<\/h3> 依赖管理<\/strong>: 定期更新第三方组件版本<\/li> 安全编码规范<\/strong>: 建立代码审查机制<\/li> 渗透测试<\/strong>: 定期进行安全测试<\/li> <\/ol> 总结<\/h2> 本审计案例展示了企业级Java应用常见的安全问题，包括框架配置、SQL注入、SSRF等多个维度。通过系统的代码审计方法，可以有效地发现和修复安全漏洞，提升应用的整体安全性。<\/p>