| name | java-file-audit |
| description | Java 源码文件操作类漏洞审计。当在 Java 白盒审计中需要检测文件相关漏洞时触发。
覆盖 5 类文件风险: 任意文件上传(MultipartFile/Servlet Part/类型绕过)、任意文件读取(NIO/IO流/路径穿越)、
任意文件写入(覆盖配置/WebShell落地)、归档提取漏洞(ZipInputStream/Zip Slip)、文件删除/重命名竞争。
需要 java-audit-pipeline 提供的数据流证据。
|
| metadata | {"tags":"file upload, file read, file write, path traversal, zip slip, 文件上传, 任意读取, 任意写入, java nio, multipartfile, 路径穿越","category":"code-audit"} |
Java 文件操作类漏洞源码审计
本 skill 聚焦源码层面判断"文件操作漏洞是否成立"，核心是验证路径可控性、文件名可控性和内容可控性。构造上传绕过 payload、目录穿越利用链等运行时利用技术属于对应黑盒 exploit skill 范畴。
深入参考
Sink 分类决策树
根据遇到的 Sink 函数类型，进入不同审计分支:
| Sink 函数 | 分支 | 典型严重度 |
|---|
MultipartFile.transferTo() / Part.write() | 文件上传 | Critical-High |
FileInputStream / Files.readAllBytes() / new File(path) / ClassLoader.getResourceAsStream() | 文件读取 | High-Medium |
FileOutputStream / Files.write() / FileWriter | 文件写入 | Critical-High |
ZipInputStream.getNextEntry() / ZipFile.entries() | 归档提取 | High |
File.delete() / Files.delete() | 文件删除 | Medium |
文件上传审计要点
上传漏洞本质是三要素同时满足: 可执行扩展名 + Web 可达存储路径 + 未被重命名/内容清洗。
- MultipartFile:
file.transferTo(new File(dir + file.getOriginalFilename())) — getOriginalFilename() 返回客户端原始文件名，可含 ../ 路径穿越或恶意扩展名
- Servlet Part:
part.write(uploadPath + fileName) — 检查 fileName 是否来自 part.getSubmittedFileName() 且未净化
- ContentType 校验 vs 扩展名校验:
file.getContentType() 来自客户端 HTTP 头，完全可伪造；扩展名白名单更可靠但需 toLowerCase() 处理
- 存储路径可控性: 文件名中的
../ 跳出上传目录，Paths.get(dir, fileName).normalize() 后需验证前缀
- Spring multipart-config:
spring.servlet.multipart.location / max-file-size / max-request-size 配置影响上传行为，检查是否限制合理
- 文件头 Magic bytes 校验: 真实类型检测需读取文件头字节（如
ImageIO.read() 或 Apache Tika），而非信任 Content-Type
文件读取审计要点
路径穿越是文件读取漏洞的核心，../ 及其变体可跳出预期目录:
- 路径穿越
../: new FileInputStream("/data/" + userPath) — 用户输入 ../../etc/passwd 读取任意文件
- NIO 安全模式:
Path resolved = baseDir.resolve(userInput).normalize(); if (!resolved.startsWith(baseDir)) throw ... — normalize() 消除 ../，startsWith() 校验前缀
- URL 编码绕过:
%2e%2e%2f（../）、双重编码 %252e%252e%252f — 检查框架是否自动解码后再传入路径
- ClassLoader.getResourceAsStream: 类路径读取受 ClassLoader 沙箱限制，通常不可穿越到文件系统任意路径，但可读取 classpath 内敏感配置
- Spring Resource 路径:
classpath: 协议限于类路径内，file: 协议可访问文件系统 — 检查协议是否用户可切换
文件写入审计要点
写入漏洞需要: 路径可控 + 内容可控 + 写入路径可被 Web 容器执行。
- WebShell 写入:
Files.write(Paths.get(dir + filename), content.getBytes()) — 路径和内容同时可控时，写入 .jsp 到 Web 根即获得 RCE
- 配置文件覆盖: 覆写
application.yml / application.properties 修改数据源、重定向等配置；覆写 web.xml 添加恶意 Servlet 映射
- 日志注入写马: 日志框架记录用户输入 → 日志文件路径可预测 → 配合文件包含或直接写入 JSP 内容到日志
- 模板文件覆盖: Thymeleaf / FreeMarker 模板目录可写 → 覆盖模板注入 SSTI payload → 下次渲染时触发
- 安全模式: 路径白名单 + 内容类型校验 + 文件存储到 Web 根外 + 写入权限最小化
归档提取审计要点
Zip Slip 是归档提取最经典的漏洞，恶意归档条目名含 ../ 导致任意路径写入:
- ZipEntry.getName() 含
../: new File(destDir, entry.getName()) — 条目名如 ../../webapps/ROOT/shell.jsp 直接写入 Web 目录
- 安全模式 (Canonical Path 校验): 解压前获取
file.getCanonicalPath() 和 destDir.getCanonicalPath()，验证文件路径以目标目录为前缀
- TarInputStream / GzipInputStream: 类似风险，tar 条目名同样可含路径穿越
- 文件覆盖: 即使不穿越目录，恶意归档可覆盖同目录下已有文件（配置文件、库文件）
文件删除审计要点
- 路径穿越删除:
new File(dir + userInput).delete() — 用户输入 ../../important.conf 删除关键文件
- TOCTOU 竞争: 检查权限 → 执行删除之间的时间窗口，攻击者可替换目标为符号链接指向敏感文件
- 符号链接跟随:
Files.delete(path) 删除链接目标而非链接本身（取决于实现），File.delete() 仅删除链接
检测清单
