安装

下载链接:http://down.admin5.com/jsp/132874.html

本地环境用的是IDEA+Tomcat8+mysql5.7.25+java1.8

环境搭建

https://s3-us-west-2.amazonaws.com/secure.notion-static.com/f7b13c7c-f0c4-41d6-83b9-5a428492adbc/rId22.png

https://s3-us-west-2.amazonaws.com/secure.notion-static.com/7ef8d2a8-1a1b-4f1d-8dc2-097b950f0208/rId23.png

https://s3-us-west-2.amazonaws.com/secure.notion-static.com/f500adb7-d000-4e82-b25a-608ea99ec1e9/rId24.png

https://s3-us-west-2.amazonaws.com/secure.notion-static.com/02e9ed8c-89f8-4cac-89f8-afc1145b8293/rId25.png

https://s3-us-west-2.amazonaws.com/secure.notion-static.com/48eb381a-cc6f-413a-99b5-5b5900b40d85/rId26.png

这里导入数据库有一个坑

https://s3-us-west-2.amazonaws.com/secure.notion-static.com/60021e79-eba0-4262-a4ed-51d3dc85b722/rId27.png

需要把0000-00-00 00:00:00全部替换成如图所示,导入即可,最后点击运行界面如下。

https://s3-us-west-2.amazonaws.com/secure.notion-static.com/7eba3d2d-1646-4066-809c-e725e8c04de1/rId28.png

前台http://127.0.0.1:82/ 
测试账号:[email protected] 111111
后台 <http://127.0.0.1:82/admin> 
测试账号:admin 111111

开始审计

SQL注入

这个框架使用的是Mybatis框架,那么需要注意的是这个框架的安全问题,总结一句如下:

MyBatis框架中常见的SQL注入

在编写MyBatis的映射语句时,尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数,要手工地做好过滤工作,来防止SQL注入攻击。