¿Se pueden usar los archivos Jasper como shells para atacar aplicaciones web de Java?

Question

¿Se pueden usar los archivos Jasper como shells para atacar aplicaciones web de Java?

#1 de wireghoul (1 votos)

2

JasperReports es una herramienta de generación de informes Java de código abierto que puede escribir en una variedad de destinos, como: pantalla, una impresora, en PDF, HTML, Microsoft Excel, RTF, ODT, valores separados por comas o archivos XML. Puede utilizarse en aplicaciones habilitadas para Java, incluidas aplicaciones Java EE o web, para generar contenido dinámico. Lee sus instrucciones de un archivo XML o .jasper. ~ wikipedia

¿Puede informarme de un escenario en el que un archivo jaspe malintencionado se carga y se convierte en código java real (shell jsp) y le da acceso a un shell atacante?

web-application java

pregunta Wise 18.02.2013 - 14:10

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-application java

¿Abrir una cuenta de correo electrónico desde solo un sistema en particular? ¿El navegador web puede usar la cámara sin permiso? [duplicar]

score 1 · Answer 1

¿Por qué limitarte a este vector de ataque? Ser capaz de escribir XML que a su vez es analizado por otra aplicación a menudo es suficiente para ejecutar código, leer o escribir archivos arbitrarios ( XXE attack ) a través de inyección xml, xpath o xslt, según la configuración del analizador.

Me imagino que el ataque más probable es que se cargue el jaspe que escribe un archivo XML malicioso que lee /etc/passwd , si los hashes de contraseña se almacenan en /etc/password , se pueden descifrar para obtener acceso autorizado al servidor. .