Java代码审计入门篇

Java代码审计-遗留debug调试代码main（）⽅法调试

调试代码可以在部署的web应⽤程序中建⽴⼀些意想不到的⼊⼝点，如：main()⽅法，在系统上线后，可视为应⽤程序的后门⼊⼝。

修复建议：

务必在部署应⽤程序的产品版之前删除调试代码。⽆论是否存在直接安全威胁，⼀旦早期开发阶段结束，就没有任何理由将这样的代码保留在应⽤程序中。

需要理解 原因：

Java基础：

main()⽅法 Java调试代码：

在使⽤java spring框架来编写web项⽬的时候，每次都要启动时候在⽹页才能调试⾃⼰的代码很⿇烦，所以很多程序员采⽤main⽅法调试，这样省时间⼜⽅便。 常⽤Spring的框架下，做单元测试的两种办法：https:///bruce128/article/details/9792283

⼀、使⽤spring中对Junit框架的整合功能 、简单⾼效

⼆、⼿动加载spring的配置⽂件，并启动spring容器（main⽅法）

Java中23种设计模式--超快速⼊门及举例代码

在⽹上看了⼀些设计模式的⽂章后，感觉还是印象不太深刻，决定好好记录记录。

原⽂地址：

注：本⽂代码基本都有很多没有初始化等等问题，主要是为了减少代码量，达到⼀眼就能了解⼤概情况的⽬的。

java的设计模式⼤体上分为三⼤类：

创建型模式（5种）：⼯⼚⽅法模式，抽象⼯⼚模式，单例模式，建造者模式，原型模式。

结构型模式（7种）：适配器模式，装饰器模式，代理模式，外观模式，桥接模式，组合模式，享元模式。

⾏为型模式（11种）：策略模式、模板⽅法模式、观察者模式、迭代⼦模式、责任链模式、命令模式、备忘录模式、状态模式、访问

者模式、中介者模式、解释器模式。

设计模式遵循的原则有6个：

1、开闭原则（Open Close Principle）

对扩展开放，对修改关闭。

2、⾥⽒代换原则（Liskov Substitution Principle）

只有当衍⽣类可以替换掉基类，软件单位的功能不受到影响时，基类才能真正被复⽤，⽽衍⽣类也能够在基类的基础上增加新的⾏为。

3、依赖倒转原则（Dependence Inversion Principle）

这个是开闭原则的基础，对接⼝编程，依赖于抽象⽽不依赖于具体。

4、接⼝隔离原则（Interface Segregation Principle）

使⽤多个隔离的借⼝来降低耦合度。

5、迪⽶特法则（最少知道原则）（Demeter Principle）

⼀个实体应当尽量少的与其他实体之间发⽣相互作⽤，使得系统功能模块相对独⽴。

6、合成复⽤原则（Composite Reuse Principle）

原则是尽量使⽤合成/聚合的⽅式，⽽不是使⽤继承。继承实际上破坏了类的封装性，超类的⽅法可能会被⼦类修改。

1. ⼯⼚模式（Factory Method）

常⽤的⼯⼚模式是静态⼯⼚，利⽤static⽅法，作为⼀种类似于常见的⼯具类Utils等辅助效果，⼀般情况下⼯⼚类不需要实例化。

个人基本简历

页脚内容1 JAVA web网站代码审计－－入门

本人还处于代码审计的初级阶段，此文章类似于编码规范，有啥建议，评论给我～

由于刚开始学代码审计的时候，就感觉一团代码，不知道从何下嘴。先从底层开始审计：

底层漏洞：

1. 查看该系统所用框架：

Struts2的相关安全：

(1) 低版本的struts2，低版本的Struts2存在很多已知的版本漏洞。一经使用，很容易造成比较大的危害。

(2) 开启 Struts2的动态调用方法，现在发现的如s2-033 ,s2-032等漏洞，都是由于系统开启了动态调用方法，导致远程代码执行。

(3) 在jsp页面中使用Struts2的ognl表达式传输数据。

(4) 开启Struts2的devMode，易造成远程代码执行

(5) 存在Struts2本身自带的ognl页面

(6) 使用Struts2自带的redirect等方法

Spring的相关安全：

Spring在jsp中使用el表达式时，注意spring的boot框架版本，因为有些低版本会存在远程命令执行。

mybatis xml相关安全： 个人基本简历

页脚内容2 在SQL语句中，使用$进行传参，导致SQL注入；

其他安全：

在使用java自带的环境时，如weblogic或者jboss，请注意查看版本号，因为此类环境低版本，大部分包含java反序列化漏洞，导致远程代码执行；

glassfish环境某些版本存在任意文件读取；

2. 查找SQL注入：

DAO:是否存在拼接的SQL语句

如：String sql = "select * from user where id="+id;

XML中：是否使用$,因为在xml中，#value#此时value是以参数的形式插入进去，$value$此时value是以字符串的形式直接插入到xml中，会导致sql注入；

JAVA web网站代码审计－－入门

本人还处于代码审计的初级阶段，此文章类似于编码规范，有啥建议，评论给我～

由于刚开始学代码审计的时候，就感觉一团代码，不知道从何下嘴。先从底层开始审计：

底层漏洞：

1. 查看该系统所用框架：

Struts2的相关安全：

(1) 低版本的struts2，低版本的Struts2存在很多已知的版本漏洞。一经使用，很容易造成比较大的危害。

(2) 开启 Struts2的动态调用方法，现在发现的如s2-033 ,s2-032等漏洞，都是由于系统开启了动态调用方法，导致远程代码执行。

(3) 在jsp页面中使用Struts2的ognl表达式传输数据。

(4) 开启Struts2的devMode，易造成远程代码执行

(5) 存在Struts2本身自带的ognl页面

(6) 使用Struts2自带的redirect等方法

Spring的相关安全：

Spring在jsp中使用el表达式时，注意spring的boot框架版本，因为有些低版本会存在远程命令执行。

mybatis xml相关安全：

在SQL语句中，使用$进行传参，导致SQL注入；

其他安全：

在使用java自带的环境时，如weblogic或者jboss，请注意查看版本号，因为此类环境低版本，大部分包含java反序列化漏洞，导致远程代码执行；

glassfish环境某些版本存在任意文件读取；

2. 查找SQL注入：

DAO:是否存在拼接的SQL语句

如：String sql = "select * from user where id="+id;

XML中：是否使用$,因为在xml中，#value#此时value是以参数的形式插入进去，$value$此时value是以字符串的形式直接插入到xml中，会导致sql注入；

select * from tb_card_bin where card_length =