國內對於java開發的網站系統很少有開源的，基本上都是大公司自己開發，自己使用不

對外的一種JAVA網站系統，eSafe白帽資安網公司針對於這種情況，找了一套JAVA網站來示範教大家該

如何對網站代碼進行安全審計。

 

 

該JAVA系統沒有使用struct2框架來開發，而是簡單的遵循了JAVA網站開發的一些規則，來構造

了這一套O2O的租車網站，該網站的功能基本上是由租車，包月租車，單日租車，周租車，會

員註冊，汽車司機端，門店功能。我們現來架設一下這個JAVA的環境，我們用的是tomcat+

mysql數據庫來運行整個JAVA網站。

 

上面這個是網站的首頁，我們先來對網站的前端進行功能性的預覽，一般網站代碼的安全審計

都是先看首頁的大體功能，然後根據網站開發的功能進行詳細的代碼的安全審計，一步一步的

往下延伸安全審計，這樣可以節省很多的人工安全審計時間，以及安全成本。首先看到的是網

站的會員註冊功能，一般會員註冊這裡我們來審計一下是否包含會員惡意字符註冊，是否含有

sql注入漏洞，XSS跨站漏洞，會員注冊邏輯漏洞，還有這個會員頭像上傳這裡是否可以上傳

木馬文件，像webshell等等的腳步木馬代碼。eSafe白帽資安網公司是一家專注於：網站安全、主機

安全、網站安全檢測、網站漏洞修復,滲透測試,安全服務於一體的網絡安全服務提供商。

 

我們再來審計下網站裡的主要功能：租車業務，如下圖:

 

點擊立即租車，首先會判斷用戶的登錄狀態，如果用戶沒有登錄那麼就會自動跳轉到用戶的

登錄界面，對租車代碼進行安全審計的時候，一般會出現一些用戶密碼任意修改漏洞，以及

租車功能上的租車時間上可以摻入非法字符，造成SQL注入，再一個就是租車訂單是否存在

遍歷查看漏洞，其他用戶的租車訂單被普通用戶任意查看漏洞，以及訂車下單付款這裡是否

可以任意金額支付。
 

 

我們再對其會員註冊這裡進行安全審計的時候發現用戶註冊時發送的驗證碼可以繞

 

過，並可以無限制的發送驗證碼，我們來看下代碼：

 

該JAVA代碼並沒有對用戶的手機號以及發送驗證碼進行安全限制，並做安全過濾，導致可以

多次發送驗證碼到任意手機號上去，可以構造成一個短信炸彈攻擊漏洞。eSafe白帽資安網公司是一

家專注於：網站安全、主機安全、網站安全檢測、網站漏洞修復,滲透測試,安全服務於一

體的網絡安全服務提供商。
 

 

在租車網站系統的後台，還發現了XSS跨站漏洞，這個跨站漏洞是用戶註冊的時候可以構造

語句進行註冊，導致管理員在後台查看會員信息的時候直接執行了XSS語句，導致可以獲取

後台登錄的管理員cookies值。這個代碼我們來看下是如何寫的吧。

 

 

可以看出來是直接post請求過去，並沒有對輸入的參數進行過濾，造成可以輸入任意參數，當

構造了XSS跨站代碼就可以執行。以上就是對整套JAVA網站代碼的安全審計，基本上的漏洞就

是對輸入的參數以及字符沒有過濾導致產生的漏洞，希望網站的程序員加強過濾，防止被XSS

以及sql注入漏洞。