1.环境搭建
项目地址: https://gitee.com/huang-yk/student-manage
项目下载到本地后IDEA打开，等待项目加载
配置Maven，修改数据库配置文件
然后启动
访问
2.代码审计
1.垂直越权+未授权+敏感信息泄露
找到拦截器看看对登录做了什么校验
@Override
public boolean preHandle(HttpServletRequest request,
HttpServletResponse response, Object handler) throws Exception {
HttpSession session = request.getSession();
User user = (User) session.getAttribute(StrUtil.USER);
if (user == null) {
response.sendRedirect(request.getContextPath() + "/login/loginPage");
return false;
} else {
String url = request.getRequestURI();
List<Auth> list = user.getUrlList();
for (Auth auth : list) {
if (url.contains(auth.getUrl()) || auth.getUrl().contains(url.split("/")[0])) {
return true;
}
}
}
response.sendRedirect(request.getContextPath() + "/404");
return false;
}第一 ，可以看到检查用户是否已登录，然后检查登录用户是否有权限访问当前请求的URL，若登录就进去，没登录就跳转登录界面
第二 ，
- 遍历权限列表，检查当前 URL 是否匹配任何权限规则
- 匹配规则1：当前 URL 包含权限 URL(url.contains(auth.getUrl()))
- 匹配规则2：权限 URL 包含当前 URL 的第一级路径(auth.getUrl().contains(url.split("/")[0]))
所以这里就有一些潜在问题
RL 匹配逻辑可能不够精确：
- 使用
contains()方法可能导致误匹配（例如/user会匹配/user/add和/admin/user） - 考虑使用更精确的匹配方式，如 equals 或正则表达式
url.split("/")[0] 获取的是第一个路径段，这种匹配可能过于宽松
查看数据库
可以发现各自的身份权限所能访问的位置，其中管理员19个都能访问，而学生和老师分别为7个8个
根据上面的代码分析，我们进入管理员之后拥有权限，可以进行构造路径来进行垂直越权进行操作
可以发现进入管理员访问这个/student/list 可以发现能够遍历所有的人员信息
登录普通用户
拼接这个/student/list 依然可以访问，达到垂直越权加未授权加敏感信息泄露
2.多处XSS
查找是否有预编译的，或者xss相关的
发现没有对xss进行预编译的或者防护，而且添加的数据在进入数据库之前都没有进行判断或者进行校验，然后直接就是找个xss poc 直接插入就行了
1.公告编辑
2.学生编辑
3.教师编辑
