一、知识点

1、Javaweb常见安全及代码逻辑

Javaweb的架构：

如何通过包查找到文件，通过URL对应源码的文件，或者通过源码文件对应URL地址。

2、目录遍历&身份验证&逻辑&JWT

Javaweb里面有身份认证的JWT的技术，python和php里面也出现，java中最多，跟在php中接触到的session和cookie差不多，是新的身份认证的方案。

3、访问控制&安全组件&越权&三方组件

javaweb的除了自身的代码逻辑漏洞，再一个就是第三方组件的漏洞，log4j等。

二、演示案例

1、JavaWeb-WebGoat8靶场搭建使用

WebGoat介绍

WebGoat是OWASP维护的，用于进行WEB漏洞测试和学习的JAVA应用程序。

#环境下载：

GitHub - WebGoat/WebGoat: WebGoat is a deliberately insecure application

下载之后需要JDK环境运行：

安装包：功能封装在jar包里面 需要查看的话就得反编译

#目录遍历：

2、安全问题-目录遍历&身份认证-JWT攻击

接收键名和键值  漏洞点在接收键名对应键值 是正确  但是如果自己构造不存在的键名 由于数据库没有 为null  也会显示正确。

就是看验证代码的逻辑是否正确

JWT  简介

JWT原理及常见攻击方式 - yokan - 博客园 (cnblogs.com)

JWT的全称是Json Web Token。它遵循JSON格式，将用户信息加密到token里，服务器不保存任何用户信息，只保存密钥信息，通过使用特定加密算法验证token，通过token验证用户身份。基于token的身份验证可以替代传统的cookie+session身份验证方法。python和java爱用这个技术

jwt由三个部分组成：header.payload.signature

可以解密 改为ture 但没有那么简单 header里面有加密方式  可以将加密方式设置为空 带三部分签名会涉及一些密匙的东西 不验证密匙的话  改为空加密方式就可行 如果要验证密匙空加密方式就不可行

1、算法改成none  就只有第一段和第二段，none不需要密匙所以没有第三段。

相关工具：c-jwt-cracker  (爆破密匙)

知道密匙更改内容

3、安全问题-访问控制&安全组件-第三方组件

#身份认证键值逻辑:

使用键名键值进行对比验证错误

-JWT攻击:1、签名没验证空加密2、爆破密匙 3、KID利用https://www.cnblogs.com/vege/p/14468030.html
#访问控制
隐藏属性:前端页面的自慰限制显示
水平越权:同一级别用户权限的查看