若依框架漏洞

若依框架的若依漏洞，其实比大多数人想象的框架更“接地气”。这套基于Spring Boot的漏洞快速开发平台，在国内中小公司里遍地都是若依——因为它上手快、界面全、框架文档中文友好。漏洞但正是若依这种“好用”，让很多人忘了它本质是框架一套公开源码的系统。攻击者不需要猜你的漏洞业务逻辑，直接翻GitHub就能找到所有默认配置。若依 最典型的框架漏洞，是漏洞那个默认口令。admin/admin123，若依ruoyi/ruoyi，框架几乎每个版本都带着。漏洞很多公司部署完，改都不改就直接扔到公网。我见过某物流公司的后台，登录页连验证码都没换，攻击者用默认账号进去，把整个司机结算表拖走了。这不是什么高深攻击，就是拿公开字典撞库而已。 另一个高频漏洞是SQL注入。若依的代码生成器虽然方便，但开发者在自定义查询时，经常直接拼接用户输入。框架自带的防注入机制只对预编译语句生效，一旦用了`${ }`而不是`#{ }`，等于把数据库敞开了。有个做电商运维的朋友跟我说，他们排查过一起数据篡改事件，最后发现就是某个导出功能里，排序字段被注入了`extractvalue`报错函数，直接回显了数据库版本。 文件上传漏洞也值得说。若依默认配置了本地存储路径，但很多二次开发的人为了省事，不校验文件类型。攻击者传个带木马的JSP文件，路径猜一下`/profile/upload/`，配合Tomcat的解析漏洞，就能拿到webshell。去年有家做智慧校园的公司被打穿，就是因为他们把若依的公告模块改了改，允许上传图片，但没检查Content-Type。 还有一些逻辑漏洞，藏在定时任务和代码生成器里。定时任务的Cron表达式支持任意类调用，如果没做权限控制，攻击者可以构造表达式去执行系统命令。代码生成器更危险——它允许在线预览代码，如果模板被篡改，生成出来的Controller里可能自带后门。这属于供应链攻击了，但现实中确实发生过，某外包公司用若依给客户做项目，结果在生成模板里埋了挖矿脚本。 别误会，我不是说若依不能用了。它适合做内部管理系统，但暴露在公网就要付出代价。实际测试中，大部分被攻破的若依站点，问题都不在框架本身，而在二次开发的代码质量。框架给了你脚手架，但没给你安全意识。 补丁更新也是个痛点。若依官网的公告经常滞后，很多开发者根本不知道出了新版本。等漏洞被公开了，PoC都满天飞了，才慌慌张张去升级。更麻烦的是，有些深度定制的项目，升级框架等于重写业务逻辑，所以很多人选择“裸奔”。 说句实在话，若依最大的漏洞不是技术上的，是心理上的——觉得开源框架经过很多人测试，所以安全。但开源只代表代码公开，不代表代码安全。你依赖的每个依赖库，Spring、MyBatis、Shiro，它们自己的CVE都够喝一壶的。框架封装得再好，底层组件出问题，照样被穿透。 如果你正在用若依，先检查三件事：改没改默认口令，有没有全局过滤SQL注入，上传目录能不能执行脚本。这三关过了，至少能挡住80%的脚本小子。剩下的，就看你运气了。

本文地址：http://www.79wt.cn/news/838e9099071.html