简化并重写GadgetInspector尝试实现一个自动Java代码审计工具
基本原理是从Java的字节码角度入手,使用ASM技术解析,模拟JVM的Operand Stack和Local Variables Array实现数据流分析
最终目标:通过输入一个SpringBoot的Jar,直接生成漏洞报告
JVM在每次方法调用均会创建一个对应的Frame,方法执行完毕或者异常终止,Frame被销毁
而每个Frame的结构如下,主要由本地变量数组(local variables)和操作栈(operand stack)组成
局部变量表所需的容量大小是在编译期确定下来的,表中的变量只在当前方法调用中有效
JVM把操作数栈作为它的工作区——大多数指令都要从这里弹出数据,执行运算,然后把结果压回操作数栈
比如,IADD指令就要从操作数栈中弹出两个整数,执行加法运算,其结果又压回到操作数栈中
之所以介绍JVM Frame,是因为代码模拟了比较完善的Operand Stack和Local Variables交互
例如方法调用会从Stack中弹出参数,方法返回值会压入栈中
根据这样的规则,进而执行数据流的分析
参考代码中的core/CoreMethodAdapter,该类构造了Operand Stack和Local Variables Array并结合ASM技术实现数据流分析
目前仅尝试实现了一种简单的SSRF,但可以做到参数可控性判断和数据流追踪分析,参考已有代码可以实现其他的漏洞检测
目前仅测试
打包:mvn clean package
执行:java -jar CodeInspector.jar --boot jar/springboot.jar --pack com.inspector.sbdemo
- boot:指定SpringBoot的Jar包路径
- pack:指定项目的包名,将会分析启动的SpringMVC路径映射,生成自动审计的入口