手工JAVA代码审计 java代码评审

什么不是java中易出现文件操作漏洞的方法

web安全

Java代码审计——文件操作漏洞



jinyouxin

原创

关注

0点赞·152人阅读



目录

（一）、 文件操作漏洞简介

（二） 、漏洞发现与修复案例

2.1 文件包含漏洞

2.2 文件上传漏洞

（三） 文件下载/读取漏洞

（四）．文件写入漏洞

（五）．文件解压漏洞

小结

（一）、 文件操作漏洞简介

文件操作是 Java Web 的核心功能之一，其中常用的操作就是将服务器上的文件以流的形式在本地读写，或上传到网络上，Java 中的 File 类就是对这些存储于磁盘上文件的虚拟映射。与我们在本地计算机上操作文件类似，Java 对文件的操作同样包括上传、删除、读取、写入等。Java Web 本身去实现这些功能是没有漏洞的，但是由于开发人员忽略了一些细节，导致攻击者可以利用这些细节通过文件操作 JavaWeb 本身的这一个功能，从而实现形如任意文件上传、任意文件下载/读取、任意文件删除等漏洞，有的场景下甚至可以利用文件解压实现目录穿越或拒绝服务攻击等，对服务器造成巨大的危害。

（二） 、漏洞发现与修复案例

2.1 文件包含漏洞

文件包含漏洞通常出现在由 PHP 编写的 Web 应用中。我们知道在 PHP 中，攻击者可以通过 PHP 中的某些包含函数，去包含一个含有攻击代码的恶意文件，在包含这个文件后，由于 PHP 包含函数的特性，无论包含的是什么类型的文件，都会将所包含的文件当作 PHP 代码去解析执行。也就是说，攻击者可能上传一个木马后缀是 txt 或者 jpg 的一句话文件，上传后利用文件包含漏洞去包含这个一句话木马文件就可以成功拿到 Shell 了。

那么 Java 中有没有类似的包含漏洞呢？回答这个问题前，我们首先来看一看Java 中包含其他文件的方式

JSP 的文件包含分为静态包含和动态包含两种：

静态包含：%@include file="test.jsp"%。

动态包含：jsp:include page="%=file%"/jsp:include、c:import url="%=url%"/c:import

由于静态包含中 file 的参数不能动态赋值，因此我目前了解的静态包含不存在包含漏洞。相反，动态包含中的 file 的参数是

相关问答

Q1: 计算机审计与传统手工审计有什么区别？

（来源于潘集区审计局网）

手工审计，即传统审计，称为“手工”是针对“计算机”而言。通常我们所说手工JAVA代码审计的计算机审计有两层含义：一是对会计信息系统进行审计手工JAVA代码审计；二是利用电脑进行审计。由于会计电算化的发展，以及两者所用工具的差异，导致了它们之间的区别。具体体现在以下几个方面：

一、审计线索

在手工会计中，由原始凭证到记账凭证，记账凭证到登记账簿，最后到编制报表，每一步都有文字记载和经手人签章，因而审计线索非常清楚。而在计算机会计系统中，由于电脑自身特性及会计软件的运行特点，产生了以下一些问题：（1）输入记账凭证后，账簿和报表瞬间自动产生，使证、账、表之间的关系不易直观地显示；（2）电脑功能发达，容易制作副本使审计人员难以区分原件和复制件；（3）磁介质擦写不露痕迹的特性，使审计人员无从了解修改前的情况及修改者，甚至连数据是否修改都难以辨别。上述情况使会计电算化核算过程看起来像一只黑盒子，增加了审计人员理清审计线索的难度。

二、审计对象

审计对象是指审计行为所指向的和作用的复合体。主要是被审计单位一定时期内会计报表所反映的经济活动，具体表现为其载体——会计资料和其他一些经济资料。在手工审计条件下，会计资料的载体是纸介质；而在计算机审计条件下，会计资料存储在硬盘、软盘等磁性介质上，其对象包括整个电子数据处理系统。相比纸介质来说，磁介质有易擦写、不稳定等特点。本来，会计资料是否涂改，是其合法与正确的一项重要证据，但在计算机系统中，涂改可做到了无痕迹。此外，一些外来的因素（如病毒、瞬间高压等）可能会造成磁盘上信息的丢失，造成会计资料的不完整。在此情况下，如何评价会计资料的正确性成为审计人员的一项新课题。

三、审计证据

审计证据包括实物证据、书面证据、口头证据和环境证据四大类。在手工审计与计算机审计中，书面证据和环境证据有着不同的涵义（在此，我们姑且将电脑中的会计记录划归书面证据的范畴）。

1、书面证据的差异。手工审计中的书面证据包括各种原始凭证、记账凭证、会计账簿和明细表等，它们都有自己的作用。而在计算机审计中，在输入记账凭证后，其他一切都由电脑处理，账簿和明细表等只是记账凭证的衍生物，失去了作为证据的作用。

2、环境证据的差异。环境证据是指对被审计单位产生影响的各种环境事实，如被审计单位有关内部控制的情况、管理人员素质等。在手工审计和计算机审计条件下，内部控制和管理人员业务技术有着不同的内容，从而导致了环境证据的差别。

四、审计方法

在手工审计中，审计方法主要包括制定审计计划的方法，收集审计证据的方法和提出审计报告的方法。从狭义上说，就是指与取得审计证据相关的各种方法。按不同的标准，可划分为顺查法、逆查法、详查法、抽查法等；再具体一些，包括核对法、查询法、观察法、分析法等。电脑引入审计后，审计方法发生了很大的变化。它可分为计算机辅助审计方法和面向计算机会计系统的审计方法。关于前者，具体可阅审计署根据《中华人民共和国国家审计基本准则》制定的《审计机关计算机辅助审计办法》。关于后者，可进一步分为计算机会计信息系统程序的审计方法，数据文件的审计方法和内部控制的审计方法，具体包括测试数据法、并行模拟法、嵌入审计程序法、代码比较法、程序解析法、受控处理法等。

五、内部控制

进行审计时，对内部控制的了解是一项非常重要的工作。审计人员据此估计审计风险、确定审计范围、制定审计程序。内部控制包括为提供取得企业特定目标的合理保证而建立的各种政策和程序。

在手工审计中，内部控制结构由三个要素组成：控制环境、会计制度、控制程序。主要包括授权控制、责任分工、管理控制、审批和核对控制、内部审计、业务处理标准化等内容。这时的内部控制是通过职责、职权分工，规定标准的业务处理程序及加强业务人员的相互联系和相互制约来完成的。而在计算机审计中，数据的处理集中由电脑自动实现，从而使原有的许多内部控制过程消失了。例如，在计算机条件下，只需输入凭证数据，以后的账簿、报表都是自动产生，这使手工条件下的账证相符、账账相符、账表相符等一系列核对控制失去了意义。

换个角度看，电脑的引入，又为内部控制带来了很多新的内容。首先、会计软件有自我保护作用，能实现一部分内部控制的功能。具体包括输入控制、数据处理过程控制、输出控制等。其次，计算机系统条件下必须配备一定的软件开发人员、系统维护人员、操作人员和管理人员，进行核算软件的开发，计算机系统的操作、管理与维护。这又给组织控制和操作控制带来了新的课题。所有这些，都要求审计人员在了解内部控制时采用新的审计程序，采取新的评价方法，以适应内部控制的变化情况。

六、审计环境

审计环境一般包括以下几项内容：有关内部控制的情况；被审计单位管理人员和业务人员的组成及素质；各种管理条件与管理水平。在计算机审计条件下，这些内容都发生了变化，主要体现在：（1）计算机会计系统内部控制与手工会计下的内部控制有着不同的内容；（2）电子数据系统的应用造成了人员结构的变化，这种变化不仅仅体现在人员组成上，还体现在人员的知识结构上；（3）上述变化必然会造成管理内容、管理条件的变化，这就要求审计人员提高自身的能力，适应新的审计环境。

七、审计档案

根据独立审计准则第六号第十八、二十条的规定，审计档案分为永久性档案和当期档案，当期档案自审计报告签发日起至少保存十年，永久性档案应长期保存。相比手工审计来说，计算机系统审计档案的保存至少有两个方面的不利。首先，较难保存。因为在电子数据处理环境下，相当部分的数据是通过代码的方式存储在磁性介质上，这些媒体容易因盗窃、丢失、故意或偶然的毁坏及使用等原因而受到损害。其次，成本较高。硬盘等存储器的价格本来就高，再加上档案至少保存十年，在此期间，或由于物理性损耗的原因，或由于电脑发展的更新换代而使老硬盘与新电脑不能匹配的原因，这些硬盘上的数据必须不断地被转录到新的硬盘上进行保存，从而造成昂贵的档案保存成本。当然，也有有利的一面。软件人员可使审计档案资料实现电子检索的功能，以后万一需要，查询起来也十分方便、快捷，这无疑比手工审计进了一大步。

八、审计人员

相对手工审计来说，计算机审计对审计人员提出了更高的要求。

1、计算机审计条件下，审计人员应具备一定的电脑知识。他不仅要有一定的分析、判断和表述能力，还要对会计计算机系统有一定的了解，对其输入输出的控制、数据处理的过程及有可能发生的舞弊情况有深刻的认识和掌握，并积累一定的经验。同时，应能熟练应用计算机辅助审计技术。

2、计算机审计条件下，审计人员应掌握新的审计理论与方法。如上所述，计算机审计系统与手工审计系统相比，在审计线索、审计对象、审计手段、审计环境、审计方法等方面都发生了变化，这就要求审计人员学习新的理论知识，掌握新的审计方法技巧，以适应以后的审计工作。

Q2: java代码审计工程师是做什么的

代码审计：顾名思义就是检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或者有编码不规范的地方，通过自动化工具或者人工审查的方式，对程序源代码逐条进行检查和分析，发现这些源代码缺陷引发的安全漏洞，并提供代码修订措施和建议。

Q3: 代码审计学php还是java

代码审计学是php。本文不是技术文章，主要给出大家java代码审计学习方向的资料、资源推荐，如何从小白一点一点成长。因为最近好多人私信我，怎么去学java代码审计，这里尽量把小白刚入门存在的问题给解答出来。对于没有代码审计经验的，可以先从php代码审计入手，了解php语言特性，既然都在t00ls混了，大家肯定都会利用web常见漏洞：参考链接1，有了这个基础之后，可以尝试挖掘一些CMS或者框架的漏洞，php了解全面了，就可以从java入手，作为一个合格的安全工程师，代码审计应该是每个人都需要掌握的。所以，代码审计学是php。

Q4: 为什么java代码审计资料很少

上面我写的是“熟悉”，这只是对刚入行的同学说的，作为代码审计来说，熟练编写代码程序是必须的，要想深度化发展，精通一门语言是必经之路。

知识一-变量逆向跟踪

在代码审计中，按业务流程审计当然是必须的，人工的流程审计的优点是能够更加全面的发现漏洞，但是缺点是查找漏洞效率低下。如果要定向的查找漏洞，逆向跟踪变量技术就显得更加突出，如查找XSS、SQL注入、命令执行……等等，逆向查找变量能够快速定位漏洞是否存在，本次已SQL注入为例。

什么是逆向跟踪

顾名思义，逆向跟踪就是对变量的逆向查找，开始全局查找出可能存在漏洞的触发点，然后回溯参数到前端，查看参数来源已经参数传递过程中的处理过程。

Q5: java代码审计的优势?

提高代码质量等。

java代码审计的优势有提高代码质量，可以将先于黑客发现系统的安全隐患，提前部署好安全防御措施，降低成本。

java是一种计算机编程语言，拥有跨平台，面向对象，泛型编程的特性，广泛应用于企业级Web应用开发和移动应用开发，任职于太阳微系统的詹姆斯·高斯林等人于1990年代初开发Java语言的雏形，最初被命名为Oak，目标设置在家用电器等小型系统的程序语言。

手工JAVA代码审计的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于java代码评审、手工JAVA代码审计的信息别忘了在本站进行查找喔。