I file Jasper possono essere utilizzati come shell per attaccare applicazioni web java?

Question

I file Jasper possono essere utilizzati come shell per attaccare applicazioni web java?

#1 da (1 voti)

2

JasperReports is an open source Java reporting tool that can write to a variety of targets, such as: screen, a printer, into PDF, HTML, Microsoft Excel, RTF, ODT, Comma-separated values or XML files. It can be used in Java-enabled applications, including Java EE or web applications, to generate dynamic content. It reads its instructions from an XML or .jasper file. ~wikipedia

Puoi parlarmi di uno scenario in cui un file jasper dannoso viene caricato e convertito in un vero codice java (jsp shell) e fornisce un accesso alla shell dell'attaccante?

java web-application

posta Wise 18.02.2013 - 14:10

fonte

1 risposta

Leggi altre domande sui tag java web-application

Black box testing applicazioni web javascript MVC Normalizzazione delle regole di Windows Advanced Firewall

score 1 · Answer 1

Perché limitarti a questo vettore di attacco? Essere in grado di scrivere XML che a sua volta viene analizzato da un'altra applicazione è spesso sufficiente per eseguire codice, leggere o scrivere file arbitrari ( XXE attack ) tramite xml, xpath o xslt injection, a seconda della configurazione del parser.

Immagino che l'attacco più probabile possa essere il caricamento di jasper che scrive un file XML dannoso che legge /etc/passwd , se qualche hash della password è memorizzato in /etc/password questi possono essere violati per ottenere l'accesso autorizzato al server .