AJ-Report（CNVD-2024-15077）漏洞复现(超详细)

主要观点总结

文章介绍了AJ-Report平台存在的认证绕过漏洞及其环境搭建、poc测试、漏洞分析和关键代码分析等内容。

关键观点总结

关键观点1: AJ-Report 1.4.0版本及以前存在认证绕过漏洞

攻击者可以利用该漏洞绕过权限校验并执行任意代码，影响平台的安全性。

关键观点2: 环境搭建和poc测试

通过vulhub启动AJ-Report 1.4.0服务器，使用特定的HTTP请求进行认证绕过测试。

关键观点3: 漏洞分析和关键代码分析

分析了DataSetParamController中的verification方法，以及ScriptEngine在其中的作用，并指出ScriptEngineManager获取名为“JavaScript”的脚本引擎存在的安全风险。