From 9f9ccd67157dd554c0da9be1050ce994d52fce65 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Fri, 24 Nov 2017 15:40:14 +0800
Subject: [PATCH 01/20] Update regexp.xml

---
 regexp.xml | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/regexp.xml b/regexp.xml
index 889dc4a..6759f33 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -192,7 +192,7 @@
         <function>
             <rule name='ProcessBuilder'>
                 <regmatch>
-                    <regexp>ProcessBuilder\.start</regexp>
+                    <regexp>ProcessBuilder</regexp>
                 </regmatch>
             </rule>
         </function>

From d75d945cc7f66a1e4a6e3038c1f6dff1a45fcb43 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Fri, 24 Nov 2017 15:58:31 +0800
Subject: [PATCH 02/20] Update regexp.xml

---
 regexp.xml | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/regexp.xml b/regexp.xml
index 6759f33..1fce696 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -192,7 +192,7 @@
         <function>
             <rule name='ProcessBuilder'>
                 <regmatch>
-                    <regexp>ProcessBuilder</regexp>
+                    <regexp>ProcessBuilder|ProcessBuilder\.start</regexp>
                 </regmatch>
             </rule>
         </function>

From 9d8df07cacc14e4712479dc52ef8a9de9344c1ed Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Fri, 24 Nov 2017 18:45:00 +0800
Subject: [PATCH 03/20] add ImageIO for ssrf

---
 regexp.xml | 7 +++++++
 1 file changed, 7 insertions(+)

diff --git a/regexp.xml b/regexp.xml
index 1fce696..7bba8dd 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -102,6 +102,13 @@
                 </regmatch>
             </rule>
         </function>
+	<function>
+            <rule name='ImageIO'>
+                <regmatch>
+                    <regexp>ImageIO\.read\(</regexp>
+                </regmatch>
+            </rule>
+        </function>    
         <function>
             <rule name='HttpClient'>
                 <regmatch>

From 82b9f61fd8096b49eeb312475302254e0af787c3 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Fri, 24 Nov 2017 18:45:43 +0800
Subject: [PATCH 04/20] Update README.md

---
 README.md | 1 +
 1 file changed, 1 insertion(+)

diff --git a/README.md b/README.md
index 6d7902b..93be6bb 100644
--- a/README.md
+++ b/README.md
@@ -33,6 +33,7 @@ JavaObjectDeserialization:
 SSRF:
     "HttpClient",
     "URL",
+    "ImageIO",
     "HttpURLConnection"
 FILE:
     "MultipartFile",

From 294e21d14cd4edca37b7b17b1531028021ded57d Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Fri, 22 Dec 2017 15:50:16 +0800
Subject: [PATCH 05/20] Update regexp.xml

---
 regexp.xml | 7 +++++++
 1 file changed, 7 insertions(+)

diff --git a/regexp.xml b/regexp.xml
index 7bba8dd..3659d8f 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -116,6 +116,13 @@
                 </regmatch>
             </rule>
         </function>
+        <function>
+            <rule name='OkHttpClient'>
+                <regmatch>
+                    <regexp>\.newCall\(|Request.Builder\(\)</regexp>
+                </regmatch>
+            </rule>
+        </function> 
     </javaid>
     <javaid vultype='FileUpload'>
         <function>

From 1953a6b8ee6342349c797e9fc63e2cf9dc09f8d8 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Fri, 22 Dec 2017 15:51:40 +0800
Subject: [PATCH 06/20] add Okhttp3->OkHttpClient

---
 README.md | 3 ++-
 1 file changed, 2 insertions(+), 1 deletion(-)

diff --git a/README.md b/README.md
index 93be6bb..4be5641 100644
--- a/README.md
+++ b/README.md
@@ -34,7 +34,8 @@ SSRF:
     "HttpClient",
     "URL",
     "ImageIO",
-    "HttpURLConnection"
+    "HttpURLConnection",
+    "OkHttpClient" 
 FILE:
     "MultipartFile",
     "createNewFile",

From 61585c41c0e8144deb2f0ad338c41a2a4708fddf Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 17 Jan 2018 16:22:35 +0800
Subject: [PATCH 07/20] Update regexp.xml

---
 regexp.xml | 9 +++++++++
 1 file changed, 9 insertions(+)

diff --git a/regexp.xml b/regexp.xml
index 3659d8f..628496d 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -217,6 +217,15 @@
                 </regmatch>
             </rule>
         </function>
+    </javaid>
+    <javaid vultype='SQLi'>
+        <function>
+            <rule name='select'>
+                <regmatch>
+                    <regexp>(into|where)[^\$]*(\$\{[^,#=\s]+\})</regexp>
+                </regmatch>
+            </rule>
+        </function>
     </javaid>
 	<!--
 	<javaid vultype='XXE'>

From 36d6e7419f85897662eb6330d1e4ebf2d77be3fc Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 17 Jan 2018 16:23:01 +0800
Subject: [PATCH 08/20] Update javaid.py

---
 javaid.py | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/javaid.py b/javaid.py
index 1ed46da..80b4d71 100644
--- a/javaid.py
+++ b/javaid.py
@@ -82,7 +82,7 @@ def handlePath(self, path):
         for d in dirs:
             subpath = os.path.join(path, d) 
             if os.path.isfile(subpath):
-                if os.path.splitext(subpath)[1] == '.java':
+                if os.path.splitext(subpath)[1] == '.java' or os.path.splitext(subpath)[1] == '.xml':
                     self._filename =subpath
                     self.handleFile(subpath)  
             else:

From ca5c308c96b828aea17e6deac981da2620354644 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 11 Apr 2018 14:11:22 +0800
Subject: [PATCH 09/20] add Socket ssrf

---
 regexp.xml | 7 +++++++
 1 file changed, 7 insertions(+)

diff --git a/regexp.xml b/regexp.xml
index 628496d..a7282ca 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -116,6 +116,13 @@
                 </regmatch>
             </rule>
         </function>
+	<function>
+            <rule name='Socket'>
+                <regmatch>
+                    <regexp>new\sSocket\(</regexp>
+                </regmatch>
+            </rule>
+        </function>    
         <function>
             <rule name='OkHttpClient'>
                 <regmatch>

From a4b8dbfe7b9b62e2b8e3c788a20258bef32d5523 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 11 Apr 2018 14:11:49 +0800
Subject: [PATCH 10/20] Update README.md

---
 README.md | 1 +
 1 file changed, 1 insertion(+)

diff --git a/README.md b/README.md
index 4be5641..5797ed8 100644
--- a/README.md
+++ b/README.md
@@ -32,6 +32,7 @@ JavaObjectDeserialization:
     "JSON.parseObject"
 SSRF:
     "HttpClient",
+    "Socket",
     "URL",
     "ImageIO",
     "HttpURLConnection",

From f2a29e0313a20c50bf6bdca4ec7d7c78b72c8428 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Fri, 1 Jun 2018 11:03:32 +0800
Subject: [PATCH 11/20] Update regexp.xml

---
 regexp.xml | 9 +++++++++
 1 file changed, 9 insertions(+)

diff --git a/regexp.xml b/regexp.xml
index a7282ca..c365a62 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -233,6 +233,15 @@
                 </regmatch>
             </rule>
         </function>
+    </javaid>
+    <javaid vultype='Info-disclosure'>
+        <function>
+            <rule name='actuator'>
+                <regmatch>
+                    <regexp>spring-boot-starter-actuator</regexp>
+                </regmatch>
+            </rule>
+        </function>
     </javaid>
 	<!--
 	<javaid vultype='XXE'>

From 38306a3377d3f8031ece84e4168f27b5f8780dfc Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Thu, 13 Sep 2018 16:03:19 +0800
Subject: [PATCH 12/20] add DataSource Connection ssrf

---
 regexp.xml | 9 ++++++++-
 1 file changed, 8 insertions(+), 1 deletion(-)

diff --git a/regexp.xml b/regexp.xml
index c365a62..540e40c 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -129,7 +129,14 @@
                     <regexp>\.newCall\(|Request.Builder\(\)</regexp>
                 </regmatch>
             </rule>
-        </function> 
+        </function>
+	<function>
+            <rule name='DataSource'>
+                <regmatch>
+                    <regexp>\.getConnection\(</regexp>
+                </regmatch>
+            </rule>
+        </function>
     </javaid>
     <javaid vultype='FileUpload'>
         <function>

From b96f235daeaefa6c2c58f8c2e0da73a95b878867 Mon Sep 17 00:00:00 2001
From: MuCake <34436991+MuCake@users.noreply.github.com>
Date: Tue, 13 Nov 2018 20:54:21 +0800
Subject: [PATCH 13/20] fix some markdown syntax

---
 ...43\347\240\201\345\256\241\350\256\241.md" | 213 +++++++++++-------
 1 file changed, 133 insertions(+), 80 deletions(-)

diff --git "a/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md" "b/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
index edeb1f6..07fb555 100644
--- "a/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
+++ "b/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
@@ -20,7 +20,7 @@ XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元
 
 当允许引用外部实体时，恶意攻击者即可构造恶意内容访问服务器资源,如读取passwd文件：
 
-``` xml
+```xml
 <?xml version="1.0" encoding="UTF-8"?>
 <!DOCTYPE replace [
 <!ENTITY test SYSTEM "file:///ect/passwd">]>
@@ -28,13 +28,16 @@ XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元
 ```
 
 ##### 漏洞示例
-此处以org.dom4j.io.SAXReader为例,仅展示部分代码片段：
 
-```
+此处以org.dom4j.io.SAXReader为例，仅展示部分代码片段：
+
+```java
 String xmldata = request.getParameter("data");
-SAXReader sax=new SAXReader();//创建一个SAXReader对象
-Document document=sax.read(new ByteArrayInputStream(xmldata.getBytes()));//获取document对象,如果文档无节点，则会抛出Exception提前结束
-Element root=document.getRootElement();//获取根节点
+SAXReader sax = new SAXReader();
+// 创建一个SAXReader对象
+Document document = sax.read(new ByteArrayInputStream(xmldata.getBytes()));
+// 获取document对象,如果文档无节点，则会抛出Exception提前结束
+Element root = document.getRootElement(); //获取根节点
 List rowList = root.selectNodes("//msg");
 Iterator<?> iter1 = rowList.iterator();
 if (iter1.hasNext()) {
@@ -45,6 +48,7 @@ if (iter1.hasNext()) {
 ...
 ```
 ##### 审计函数
+
 XML解析一般在导入配置、数据传输接口等场景可能会用到，涉及到XML文件处理的场景可留意下XML解析器是否禁用外部实体，从而判断是否存在XXE。部分XML解析接口如下：
 
 ```
@@ -65,25 +69,30 @@ javax.xml.xpath.XPathExpression
 ```
 
 ##### 修复方案
+
 使用XML解析器时需要设置其属性，禁止使用外部实体，以上例中SAXReader为例，安全的使用方式如下:
 
-```
+```java
 sax.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
 sax.setFeature("http://xml.org/sax/features/external-general-entities", false);
 sax.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
 ```
-其它XML解析器的安全使用可参考[OWASP XML External Entity (XXE) Prevention Cheat Sheet](https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet#Java)
+
+其它XML解析器的安全使用可参考[OWASP XML External Entity (XXE) Prevention Cheat Sheet](https://www.owasp.org/index.php/XML_External_Entity_%28XXE%29_Prevention_Cheat_Sheet#Java)
 
 ### 反序列化漏洞
+
 ##### 介绍
+
 序列化是让 Java 对象脱离 Java 运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。 
 
 Java程序使用ObjectInputStream对象的readObject方法将反序列化数据转换为java对象。但当输入的反序列化的数据可被用户控制，那么攻击者即可通过构造恶意输入，让反序列化产生非预期的对象，在此过程中执行构造的任意代码。
 
 ##### 漏洞示例
+
 漏洞代码示例如下：
 
-``` java
+```java
 ......
 //读取输入流,并转换对象
 InputStream in=request.getInputStream();
@@ -92,11 +101,14 @@ ObjectInputStream ois = new ObjectInputStream(in);
 ois.readObject();
 ois.close();
 ```
+
 上述代码中，程序读取输入流并将其反序列化为对象。此时可查看项目工程中是否引入可利用的commons-collections 3.1、commons-fileupload 1.3.1等第三方库，即可构造特定反序列化对象实现任意代码执行。相关三方库及利用工具可参考ysoserial、marshalsec。
+
 ##### 审计函数
+
 反序列化操作一般在导入模版文件、网络通信、数据传输、日志格式化存储、对象数据落磁盘或DB存储等业务场景,在代码审计时可重点关注一些反序列化操作函数并判断输入是否可控，如下：
 
-```	
+```
 ObjectInputStream.readObject
 ObjectInputStream.readUnshared
 XMLDecoder.readObject
@@ -108,6 +120,7 @@ JSON.parseObject
 ```
 
 ##### 修复方案
+
 如果可以明确反序列化对象类的则可在反序列化时设置白名单，对于一些只提供接口的库则可使用黑名单设置不允许被反序列化类或者提供设置白名单的接口，可通过Hook函数resolveClass来校验反序列化的类从而实现白名单校验，示例如下：
 
 ```java
@@ -132,38 +145,42 @@ public class AntObjectInputStream extends ObjectInputStream{
     }
 }
 ```
+
 也可以使用Apache Commons IO Serialization包中的ValidatingObjectInputStream类的accept方法来实现反序列化类白/黑名单控制，如果使用的是第三方库则升级到最新版本。更多修复方案可参考[浅谈Java反序列化漏洞修复方案](https://xianzhi.aliyun.com/forum/topic/41/)。
 
 ### SSRF
 
 ##### 介绍
+
 SSRF形成的原因大都是由于代码中提供了从其他服务器应用获取数据的功能但没有对目标地址做过滤与限制。比如从指定URL链接获取图片、下载等。
 
 ##### 漏洞示例
+
 此处以HttpURLConnection为例，示例代码片段如下:
 
-``` java
-	String url = request.getParameter("picurl");
-	StringBuffer response = new StringBuffer();
-
-   	URL pic = new URL(url);
-   	HttpURLConnection con = (HttpURLConnection) pic.openConnection();
-	con.setRequestMethod("GET");
-	con.setRequestProperty("User-Agent", "Mozilla/5.0");
-	BufferedReader in = new BufferedReader(new InputStreamReader(con.getInputStream()));
-	String inputLine;
-	while ((inputLine = in.readLine()) != null) {
-	     response.append(inputLine);
-   	}
-	in.close();
-	modelMap.put("resp",response.toString());
-	return "getimg.htm";
+```java
+String url = request.getParameter("picurl");
+StringBuffer response = new StringBuffer();
+
+URL pic = new URL(url);
+HttpURLConnection con = (HttpURLConnection) pic.openConnection();
+con.setRequestMethod("GET");
+con.setRequestProperty("User-Agent", "Mozilla/5.0");
+BufferedReader in = new BufferedReader(new InputStreamReader(con.getInputStream()));
+String inputLine;
+while ((inputLine = in.readLine()) != null) {
+     response.append(inputLine);
+}
+in.close();
+modelMap.put("resp",response.toString());
+return "getimg.htm";
 ```
 
 ##### 审计函数
+
 程序中发起HTTP请求操作一般在获取远程图片、页面分享收藏等业务场景,在代码审计时可重点关注一些HTTP请求操作函数，如下：
 
-```	
+```
 HttpClient.execute
 HttpClient.executeMethod
 HttpURLConnection.connect
@@ -180,57 +197,63 @@ URL.openStream
 ### SQLi
 
 ##### 介绍
+
 注入攻击的本质，是程序把用户输入的数据当做代码执行。这里有两个关键条件，第一是用户能够控制输入；第二是用户输入的数据被拼接到要执行的代码中从而被执行。sql注入漏洞则是程序将用户输入数据拼接到了sql语句中，从而攻击者即可构造、改变sql语义从而进行攻击。
+
 ##### 漏洞示例
+
 此处以Mybatis框架为例，示例sql片段如下:
 
 ```sql
 select * from books where id= ${id}
 ```
+
 对于Mybatis框架下SQL注入漏洞的审计可参考[Mybatis框架下SQL注入漏洞面面观](https://mp.weixin.qq.com/s?__biz=MjM5OTk2MTMxOQ==&mid=2727827368&idx=1&sn=765d0835f0069b5145523c31e8229850&mpshare=1&scene=1&srcid=0926a6QC3pGbQ3Pznszb4n2q)
 
 ##### 修复方案
 
 Mybatis框架SQL语句安全写法应使用\#\{\},避免使用动态拼接形式\$\{\}，ibatis则使用\#变量\#。安全写法如下:
 
-```
+```sql
 select * from books where id= #{id}
-
 ```
 
 ### 文件上传漏洞
 
 ##### 介绍
+
 文件上传过程中，通常因为未校验上传文件后缀类型，导致用户可上传jsp等一些webshell文件。代码审计时可重点关注对上传文件类型是否有足够安全的校验，以及是否限制文件大小等。
 
 ##### 漏洞示例
+
 此处以MultipartFile为例，示例代码片段如下:
 
-``` java
-	public String handleFileUpload(MultipartFile file){
-        String fileName = file.getOriginalFilename();
-        if (fileName==null) {
-            return "file is error";
-        }
-        String filePath = "/static/images/uploads/"+fileName;
-        if (!file.isEmpty()) {
-            try {
-                byte[] bytes = file.getBytes();
-                BufferedOutputStream stream =
-                        new BufferedOutputStream(new FileOutputStream(new File(filePath)));
-                stream.write(bytes);
-                stream.close();
-                return "OK";
-            } catch (Exception e) {
-                return e.getMessage();
-            }
-        } else {
-            return "You failed to upload " + file.getOriginalFilename() + " because the file was empty.";
+```java
+public String handleFileUpload(MultipartFile file){
+    String fileName = file.getOriginalFilename();
+    if (fileName==null) {
+        return "file is error";
+    }
+    String filePath = "/static/images/uploads/"+fileName;
+    if (!file.isEmpty()) {
+        try {
+            byte[] bytes = file.getBytes();
+            BufferedOutputStream stream =
+                    new BufferedOutputStream(new FileOutputStream(new File(filePath)));
+            stream.write(bytes);
+            stream.close();
+            return "OK";
+        } catch (Exception e) {
+            return e.getMessage();
         }
+    } else {
+        return "You failed to upload " + file.getOriginalFilename() + " because the file was empty.";
     }
+}
 ```
 
 ##### 审计函数
+
 java程序中涉及到文件上传的函数，比如：
 
 ```	
@@ -242,7 +265,9 @@ MultipartFile
 * 使用白名单校验上传文件类型、大小限制
 
 ### Autobinding
+
 ##### 介绍
+
 Autobinding-自动绑定漏洞，根据不同语言/框架，该漏洞有几个不同的叫法，如下：
 
 * Mass Assignment: Ruby on Rails, NodeJS
@@ -252,11 +277,12 @@ Autobinding-自动绑定漏洞，根据不同语言/框架，该漏洞有几个
 软件框架有时允许开发人员自动将HTTP请求参数绑定到程序代码变量或对象中，从而使开发人员更容易地使用该框架。这里攻击者就可以利用这种方法通过构造http请求，将请求参数绑定到对象上，当代码逻辑使用该对象参数时就可能产生一些不可预料的结果。
 
 ##### 漏洞示例
+
 示例代码以[ZeroNights-HackQuest-2016](https://github.com/GrrrDog/ZeroNights-HackQuest-2016)的demo为例，把示例中的justiceleague程序运行起来，可以看到这个应用菜单栏有about，reg，Sign up，Forgot password这4个页面组成。我们关注的点是密码找回功能，即怎么样绕过安全问题验证并找回密码。
 
 1）首先看reset方法，把不影响代码逻辑的删掉。这样更简洁易懂：
 
-```
+```java
 @Controller
 @SessionAttributes("user")
 public class ResetPasswordController {
@@ -273,21 +299,24 @@ public String resetHandler(@RequestParam String username, Model model) {
 		return "redirect: resetQuestion";
 	}
 ```
+
 这里从参数获取username并检查有没有这个用户，如果有则把这个user对象放到Model中。因为这个Controller使用了@SessionAttributes("user")，所以同时也会自动把user对象放到session中。然后跳转到resetQuestion密码找回安全问题校验页面。
 
 2）resetQuestion密码找回安全问题校验页面有resetViewQuestionHandler这个方法展现
 
-```
+```java
 @RequestMapping(value = "/resetQuestion", method = RequestMethod.GET)
 	public String resetViewQuestionHandler(@ModelAttribute User user) {
 		logger.info("Welcome resetQuestion ! " + user);
 		return "resetQuestion";
 	}
 ```
+
 这里使用了@ModelAttribute User user，实际上这里是从session中获取user对象。但存在问题是如果在请求中添加user对象的成员变量时则会更改user对象对应成员的值。
 所以当我们给resetQuestionHandler发送GET请求的时候可以添加“answer=hehe”参数，这样就可以给session中的对象赋值，将原本密码找回的安全问题答案修改成“hehe”。这样在最后一步校验安全问题时即可验证成功并找回密码
 
 ##### 审计函数
+
 这种漏洞一般在比较多步骤的流程中出现，比如转账、找密等场景，也可重点留意几个注解如下：
 
 ```	
@@ -295,26 +324,32 @@ public String resetHandler(@RequestParam String username, Model model) {
 @ModelAttribute
 ...
 ```
+
 更多信息可参考[Spring MVC Autobinding漏洞实例初窥](https://xianzhi.aliyun.com/forum/topic/1089/)
+
 ##### 修复方案
+
 Spring MVC中可以使用@InitBinder注解，通过WebDataBinder的方法setAllowedFields、setDisallowedFields设置允许或不允许绑定的参数。
 
 ### URL重定向
 
 ##### 介绍
+
 由于Web站点有时需要根据不同的逻辑将用户引向到不同的页面，如典型的登录接口就经常需要在认证成功之后将用户引导到登录之前的页面，整个过程中如果实现不好就可能导致URL重定向问题，攻击者构造恶意跳转的链接，可以向用户发起钓鱼攻击。
 
 ##### 漏洞示例
+
 此处以Servlet的redirect 方式为例，示例代码片段如下:
 
-``` java
-	String site = request.getParameter("url");
-	if(!site.isEmpty()){
-		response.sendRedirect(site);
-	}
+```java
+String site = request.getParameter("url");
+if(!site.isEmpty()){
+	response.sendRedirect(site);
+}
 ```
 
 ##### 审计函数
+
 java程序中URL重定向的方法均可留意是否对跳转地址进行校验、重定向函数如下：
 
 ```	
@@ -323,6 +358,7 @@ setHeader
 forward
 ...
 ```
+
 ##### 修复方案
 
 * 使用白名单校验重定向的url地址
@@ -331,9 +367,11 @@ forward
 ### CSRF
 
 ##### 介绍
+
 跨站请求伪造（Cross-Site Request Forgery，CSRF）是一种使已登录用户在不知情的情况下执行某种动作的攻击。因为攻击者看不到伪造请求的响应结果，所以CSRF攻击主要用来执行动作，而非窃取用户数据。当受害者是一个普通用户时，CSRF可以实现在其不知情的情况下转移用户资金、发送邮件等操作；但是如果受害者是一个具有管理员权限的用户时CSRF则可能威胁到整个Web系统的安全。
 
 ##### 漏洞示例
+
 由于开发人员对CSRF的了解不足，错把“经过认证的浏览器发起的请求”当成“经过认证的用户发起的请求”，当已认证的用户点击攻击者构造的恶意链接后就“被”执行了相应的操作。例如，一个博客删除文章是通过如下方式实现的：
 
 ``` 
@@ -347,6 +385,7 @@ GET http://blog.com/article/delete.jsp?id=102
 此类漏洞一般都会在框架中解决修复，所以在审计csrf漏洞时。首先要熟悉框架对CSRF的防护方案，一般审计时可查看增删改请求重是否有token、formtoken等关键字以及是否有对请求的Referer有进行校验。手动测试时,如果有token等关键则替换token值为自定义值并重放请求，如果没有则替换请求Referer头为自定义链接或置空。重放请求看是否可以成功返回数据从而判断是否存在CSRF漏洞。
 
 ##### 修复方案
+
 * Referer校验，对HTTP请求的Referer校验，如果请求Referer的地址不在允许的列表中，则拦截请求。
 * Token校验，服务端生成随机token，并保存在本次会话cookie中，用户发起请求时附带token参数，服务端对该随机数进行校验。如果不正确则认为该请求为伪造请求拒绝该请求。
 * Formtoken校验，Formtoken校验本身也是Token校验，只是在本次表单请求有效。
@@ -354,18 +393,22 @@ GET http://blog.com/article/delete.jsp?id=102
 * 增删改请求使用POST请求
 
 ### 命令执行
+
 ##### 介绍
+
 由于业务需求，程序有可能要执行系统命令的功能，但如果执行的命令用户可控，业务上有没有做好限制，就可能出现命令执行漏洞。
 
 ##### 漏洞示例
+
 此处以getRuntime为例，示例代码片段如下:
 
-``` java
-	String cmd = request.getParameter("cmd");
-	Runtime.getRuntime().exec(cmd);
+```java
+String cmd = request.getParameter("cmd");
+Runtime.getRuntime().exec(cmd);
 ```
 
 ##### 审计函数
+
 这种漏洞原理上很简单，重点是找到执行系统命令的函数，看命令是否可控。在一些特殊的业务场景是能判断出是否存在此类功能，这里举个典型的实例场景,有的程序功能需求提供网页截图功能，笔者见过多数是使用phantomjs实现，那势必是需要调用系统命令执行phantomjs并传参实现截图。而参数大多数情况下应该是当前url或其中获取相关参数，此时很有可能存在命令执行漏洞，还有一些其它比较特别的场景可自行脑洞。
 
 java程序中执行系统命令的函数如下：
@@ -382,57 +425,68 @@ GroovyShell.evaluate
 * 如需用户输入参数，则对用户输入做严格校验，如&&、|、;等
 
 ### 权限控制
+
 ##### 介绍
+
 越权漏洞可以分为水平、垂直越权两种,程序在处理用户请求时未对用户的权限进行校验，使的用户可访问、操作其他相同角色用户的数据，这种情况是水平越权；如果低权限用户可访问、操作高权限用户则的数据，这种情况为垂直越权。
 
 ##### 漏洞示例
 
-``` java
-    @RequestMapping(value="/getUserInfo",method = RequestMethod.GET)
-    public String getUserInfo(Model model, HttpServletRequest request) throws IOException {
-        String userid = request.getParameter("userid");
-        if(!userid.isEmpty()){
-            String info=userModel.getuserInfoByid(userid);
-            return info;
-        }
-        return "";
+```java
+@RequestMapping(value="/getUserInfo",method = RequestMethod.GET)
+public String getUserInfo(Model model, HttpServletRequest request) throws IOException {
+    String userid = request.getParameter("userid");
+    if(!userid.isEmpty()){
+        String info=userModel.getuserInfoByid(userid);
+        return info;
     }
+    return "";
+}
 ```
 
 ##### 审计函数
+
 水平、垂直越权不需关注特定函数，只要在处理用户操作请求时查看是否有对当前登陆用户权限做校验从而确定是否存在漏洞
+
 ##### 修复方案
+
 获取当前登陆用户并校验该用户是否具有当前操作权限，并校验请求操作数据是否属于当前登陆用户，当前登陆用户标识不能从用户可控的请求参数中获取。
 
 ### 批量请求
+
 ##### 介绍
+
 业务中经常会有使用到发送短信校验码、短信通知、邮件通知等一些功能，这类请求如果不做任何限制，恶意攻击者可能进行批量恶意请求轰炸，大量短信、邮件等通知对正常用户造成困扰，同时也是对公司的资源造成损耗。
 
 除了短信、邮件轰炸等，还有一种情况也需要注意，程序中可能存在很多接口，用来查询账号是否存在、账号名与手机或邮箱、姓名等的匹配关系，这类请求如不做限制也会被恶意用户批量利用，从而获取用户数据关系相关数据。对这类请求在代码审计时可关注是否有对请求做鉴权、和限制即可大致判断是否存在风险。
 
 ##### 漏洞示例
 
-``` java
-    @RequestMapping(value="/ifUserExit",method = RequestMethod.GET)
-    public String ifUserExit(Model model, HttpServletRequest request) throws IOException {
-        String phone = request.getParameter("phone");
-        if(! phone.isEmpty()){
-            boolean ifex=userModel.ifuserExitByPhone(phone);
-            if (!ifex)
-                return "用户不存在";
-        }
-        return "用户已被注册";
+```java
+@RequestMapping(value="/ifUserExit",method = RequestMethod.GET)
+public String ifUserExit(Model model, HttpServletRequest request) throws IOException {
+    String phone = request.getParameter("phone");
+    if(! phone.isEmpty()){
+        boolean ifex=userModel.ifuserExitByPhone(phone);
+        if (!ifex)
+            return "用户不存在";
     }
+    return "用户已被注册";
+}
 ```
 
 ##### 修复方案
+
 * 对同一个用户发起这类请求的频率、每小时及每天发送量在服务端做限制，不可在前端实现限制
 
 ### 第三方组件安全
+
 ##### 介绍
+
 这个比较好理解，诸如Struts2、不安全的编辑控件、XML解析器以及可被其它漏洞利用的如commons-collections:3.1等第三方组件，这个可以在程序pom文件中查看是否有引入依赖。即便在代码中没有应用到或很难直接利用，也不应该使用不安全的版本，一个产品的周期很长，很难保证后面不会引入可被利用的漏洞点。
 
 ##### 修复方案
+
 * 使用最新或安全版本的第三方组件
 
 ### 待续...
@@ -441,5 +495,4 @@ GroovyShell.evaluate
 
 除了上述相关的漏洞，在代码审计的时候有时会遇到一些特别的漏洞，比如开发为了测试方便关闭掉了一些安全校验函数、甚至未彻底清除的一些预留后门及测试管理接口等。除此，框架本身的安全问题也是可以深挖。一些安全校验、安全解决方案也未必就毫无破绽的，即便存在一些安全解决，但开发人员有没有使用以及是否正确使用安全方案都是可能存在问题的点。大公司都有成熟的框架，一些基本的安全问题并不是太多，但设计层面上的安全及流程相关的问题却基本依赖开发的经验。流程相关的漏洞则有必要先熟悉应用本身的设计和逻辑，这块也是潜在的风险点。
 
-不要指望给开发说一句“一切输入都是不可信的”，他就能编写出安全的代码。总之,Talk is cheap. Show me the code～
-
+不要指望给开发说一句“一切输入都是不可信的”，他就能编写出安全的代码。总之，Talk is cheap. Show me the code～

From 30fd39291e1c915653cc7336873265320a2d1af9 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 14 Nov 2018 17:40:41 +0800
Subject: [PATCH 14/20] Update regexp.xml

---
 regexp.xml | 16 ++++++++++++++++
 1 file changed, 16 insertions(+)

diff --git a/regexp.xml b/regexp.xml
index 540e40c..c0be8c0 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -232,6 +232,22 @@
             </rule>
         </function>
     </javaid>
+    <javaid vultype='SPelInjection'>
+        <function>
+            <rule name='SpelExpressionParser'>
+                <regmatch>
+                    <regexp>SpelExpressionParser</regexp>
+                </regmatch>
+            </rule>
+        </function>
+        <function>
+            <rule name='getValue'>
+                <regmatch>
+                    <regexp>getValue\(\)</regexp>
+                </regmatch>
+            </rule>
+        </function>
+    </javaid>
     <javaid vultype='SQLi'>
         <function>
             <rule name='select'>

From ebdaecaaa8b6a31928da16373f66daa3f3315dd0 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 14 Nov 2018 17:42:42 +0800
Subject: [PATCH 15/20] Update README.md

---
 README.md | 4 ++++
 1 file changed, 4 insertions(+)

diff --git a/README.md b/README.md
index 5797ed8..89600a2 100644
--- a/README.md
+++ b/README.md
@@ -37,10 +37,14 @@ SSRF:
     "ImageIO",
     "HttpURLConnection",
     "OkHttpClient" 
+    "DataSource.getConnection"
 FILE:
     "MultipartFile",
     "createNewFile",
     "FileInputStream"
+SPelInjection:
+    "SpelExpressionParser",
+    "getValue"
 Autobinding:
     "@SessionAttributes",
     "@ModelAttribute"

From 683613ca2e1d3b27c15aaee3ee30d9ce9408af21 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 14 Nov 2018 17:44:12 +0800
Subject: [PATCH 16/20] Update README.md

---
 README.md | 3 ++-
 1 file changed, 2 insertions(+), 1 deletion(-)

diff --git a/README.md b/README.md
index 89600a2..2bcf119 100644
--- a/README.md
+++ b/README.md
@@ -37,7 +37,8 @@ SSRF:
     "ImageIO",
     "HttpURLConnection",
     "OkHttpClient" 
-    "DataSource.getConnection"
+    "SimpleDriverDataSource.getConnection"
+    "DriverManager.getConnection"
 FILE:
     "MultipartFile",
     "createNewFile",

From 41931a434fdc0bd010475871a7aec947057b6b98 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Wed, 14 Nov 2018 17:46:39 +0800
Subject: [PATCH 17/20] Update regexp.xml

---
 regexp.xml | 9 ++++++++-
 1 file changed, 8 insertions(+), 1 deletion(-)

diff --git a/regexp.xml b/regexp.xml
index c0be8c0..7ad5d2a 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -131,7 +131,14 @@
             </rule>
         </function>
 	<function>
-            <rule name='DataSource'>
+            <rule name='SimpleDriverDataSource'>
+                <regmatch>
+                    <regexp>\.getConnection\(</regexp>
+                </regmatch>
+            </rule>
+        </function>
+	<function>
+            <rule name='DriverManager'>
                 <regmatch>
                     <regexp>\.getConnection\(</regexp>
                 </regmatch>

From 99cbf38340d2ad546bcdf0b9535740dc8a0401a6 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Thu, 22 Nov 2018 12:00:58 +0800
Subject: [PATCH 18/20] =?UTF-8?q?Update=20JAVA=E5=AE=89=E5=85=A8=E7=BC=96?=
 =?UTF-8?q?=E7=A0=81=E4=B8=8E=E4=BB=A3=E7=A0=81=E5=AE=A1=E8=AE=A1.md?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 ...43\347\240\201\345\256\241\350\256\241.md" | 49 +++++++++++++++++++
 1 file changed, 49 insertions(+)

diff --git "a/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md" "b/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
index 07fb555..558523c 100644
--- "a/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
+++ "b/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
@@ -489,6 +489,55 @@ public String ifUserExit(Model model, HttpServletRequest request) throws IOExcep
 
 * 使用最新或安全版本的第三方组件
 
+### SPel注入
+##### 介绍
+Spel是Spring框架el表达式的缩写，当使用SpelExpressionParser解析spel表达式，且表达式可被外部控制，则可能导致SPel表达式注入从而造成RCE，如[CVE-2018-1260](https://github.com/Cryin/Paper/blob/master/CVE-2018-1260%20spring-security-oauth2%20RCE%20Analysis.md)就是spring-security-oauth2的一个SPel注入导致的RCE 。
+
+##### 漏洞示例
+```java
+@RequestMapping(path = "/elinjection")
+public class SPelInjectionController {
+    @RequestMapping(value="/spel.html",method= RequestMethod.GET)
+    public String SPelInjection(ModelMap modelMap, HttpServletRequest request, HttpServletResponse response) throws IOException {
+        String el=request.getParameter("el");
+        //el="T(java.lang.Runtime).getRuntime().exec(\"open /Applications/Calculator.app\")";
+        ExpressionParser PARSER = new SpelExpressionParser();
+        Expression exp = PARSER.parseExpression(el);
+        return (String)exp.getValue();
+    }
+}
+```
+##### 修复方案
+* 解析el表达式时，参数不要由外部用户输入
+
+### 任意文件上传漏洞
+##### 介绍
+使用MultipartFile上传文件时，未对文件大小及后缀类型进行限制，则可能导致任意文件上传风险。
+
+##### 漏洞示例
+```java
+@RequestMapping(value = "/Upload", method = RequestMethod.POST)
+    public Result Upload(@RequestParam MultipartFile file) throws IOException {
+        InputStream inputStream = null;
+        OutputStream outputStream = null;
+        try {
+            inputStream = file.getInputStream();
+            File dFile = new File( "/home/user/" + file.getOriginalFilename());
+            if (!dFile.exists()) {
+                dFile.createNewFile();
+            }
+          outputStream = new FileOutputStream(dumpFile);
+          Util.copy(inputStream, outputStream);
+
+        }finally {
+            Util.Close(inputStream);
+        }
+        return True
+    }
+```
+##### 修复方案
+* 配置MultipartFile，限制上传文件的大小及后缀类型。
+
 ### 待续...
 
 ### 总结

From 0c2351c072195eb04aecfbd083b13ff866c17424 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Thu, 22 Nov 2018 12:02:00 +0800
Subject: [PATCH 19/20] =?UTF-8?q?Update=20JAVA=E5=AE=89=E5=85=A8=E7=BC=96?=
 =?UTF-8?q?=E7=A0=81=E4=B8=8E=E4=BB=A3=E7=A0=81=E5=AE=A1=E8=AE=A1.md?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 ...43\347\240\201\345\256\241\350\256\241.md" | 28 -------------------
 1 file changed, 28 deletions(-)

diff --git "a/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md" "b/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
index 558523c..5757c5b 100644
--- "a/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
+++ "b/JAVA\345\256\211\345\205\250\347\274\226\347\240\201\344\270\216\344\273\243\347\240\201\345\256\241\350\256\241.md"
@@ -510,34 +510,6 @@ public class SPelInjectionController {
 ##### 修复方案
 * 解析el表达式时，参数不要由外部用户输入
 
-### 任意文件上传漏洞
-##### 介绍
-使用MultipartFile上传文件时，未对文件大小及后缀类型进行限制，则可能导致任意文件上传风险。
-
-##### 漏洞示例
-```java
-@RequestMapping(value = "/Upload", method = RequestMethod.POST)
-    public Result Upload(@RequestParam MultipartFile file) throws IOException {
-        InputStream inputStream = null;
-        OutputStream outputStream = null;
-        try {
-            inputStream = file.getInputStream();
-            File dFile = new File( "/home/user/" + file.getOriginalFilename());
-            if (!dFile.exists()) {
-                dFile.createNewFile();
-            }
-          outputStream = new FileOutputStream(dumpFile);
-          Util.copy(inputStream, outputStream);
-
-        }finally {
-            Util.Close(inputStream);
-        }
-        return True
-    }
-```
-##### 修复方案
-* 配置MultipartFile，限制上传文件的大小及后缀类型。
-
 ### 待续...
 
 ### 总结

From ae7183f212b8129447e13883ef031c4a50bfa811 Mon Sep 17 00:00:00 2001
From: Cryin <416049355@qq.com>
Date: Mon, 18 Feb 2019 16:16:01 +0800
Subject: [PATCH 20/20] https://github.com/Cryin/JavaID/issues/3

https://github.com/Cryin/JavaID/issues/3
---
 regexp.xml | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/regexp.xml b/regexp.xml
index 7ad5d2a..b45a818 100644
--- a/regexp.xml
+++ b/regexp.xml
@@ -82,7 +82,7 @@
         <function>
             <rule name='Yaml'>
                 <regmatch>
-                    <regexp>.load\(</regexp>
+                    <regexp>\.load\(</regexp>
                 </regmatch>
             </rule>
         </function>