java-file-read-audit（Java file read 审核）

Java 文件读取漏洞审计工具

检查 Java Web 项目源码，识别文件读取操作实现，检测任意文件读取和路径遍历漏洞。

核心要求

此技能必须完整分析所有文件读取相关代码，不允许省略。

• ✅ 识别所有文件读取入口点（BufferedReader/Scanner/Files）
• ✅ 分析每个文件操作的路径来源
• ✅ 检测所有潜在的路径遍历模式
• ✅ 为每个漏洞点提供验证 PoC
• ❌ 禁止省略任何文件读取操作
• ❌ 禁止跳过反编译步骤

漏洞分级标准

详见 SEVERITY_RATING.md

• 漏洞编号格式: {C/H/M/L}-FILE-{序号}
• 严重等级 = f(可达性 R, 影响范围 I, 利用复杂度 C)
• Score = R × 0.40 + I × 0.35 + C × 0.25，映射 CVSS 3.1

技能协作流程（CRITICAL）

java-file-read-audit 应在 java-route-mapper 之后执行，基于已梳理的路由信息进行审计。

┌─────────────────────────────────────────────────────────────────┐
│                    完整审计流程                                  │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  [步骤1] java-route-mapper                                      │
│     │                                                           │
│     │ 输出：                                                    │
│     │ ├─ 所有 HTTP 路由列表                                     │
│     │ ├─ 每个路由的参数定义                                     │
│     │ │   ├─ 参数名、类型                                       │
│     │ │   └─ JSON 内部字段                                      │
│     │ └─ Burp Suite 请求模板                                    │
│     │                                                           │
│     ↓                                                           │
│  [步骤2] java-file-read-audit（本技能）                         │
│     │                                                           │
│     │ 输入：java-route-mapper 的输出                            │
│     │                                                           │
│     │ 执行：                                                    │
│     │ ├─ 快速扫描文件操作                                       │
│     │ ├─ 参数-文件路径映射分析                                  │
│     │ ├─ 检查每个 String 参数是否用作文件路径                   │
│     │ └─ 执行条件分析                                           │
│     │                                                           │
│     ├─── 需要深入追踪 ───→ java-route-tracer                    │
│     │                           │                               │
│     │    ←── 返回调用链信息 ────┘                               │
│     │                                                           │
│     ↓                                                           │
│  [步骤3] 输出综合审计报告                                       │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

输入依赖（来自 java-route-mapper）

在开始审计前，必须先检查是否已有 java-route-mapper 的输出文件：

{project_name}_audit/
├── route_mapper/
│   ├── {project_name}_route_mapper_{timestamp}.md    ← 主索引（先读此文件定位模块详情）
│   ├── {module_name}/
│   │   └── {project_name}_module_{module_name}_{timestamp}.md  ← 模块详情
│   └── webservice/
│       └── {project_name}_ws_{service_name}_{timestamp}.md
└── file_read_audit/
    └── {project_name}_file_read_audit_{timestamp}.md  ← 本技能输出

如果 route_mapper 输出不存在，必须先运行：

Skill(skill="java-route-mapper", args="--project {project_path}")

从 route_mapper 获取的关键信息

工作流程（三阶段）

阶段1: 快速扫描（优先执行）

目标：快速定位文件读取相关代码，不遗漏关键点。

# 1.1 搜索文件读取方法
grep -ri "BufferedReader\|FileReader\|FileInputStream" --include="*.java"
grep -ri "Scanner.*File\|Scanner.*Path" --include="*.java"
grep -ri "Files.lines\|Files.readAllLines\|Files.readAllBytes" --include="*.java"

# 1.2 搜索文件下载/读取接口
grep -ri "download\|readFile\|getFile\|viewFile" --include="*.java"
grep -ri "@RequestMapping.*download\|@GetMapping.*download" --include="*.java"

# 1.3 搜索路径拼接模式
grep -ri "new File.*\+" --include="*.java"
grep -ri "Paths.get.*\+" --include="*.java"
grep -ri "File.separator" --include="*.java"

# 1.4 搜索路径参数
grep -ri "filePath\|fileName\|file\|path" --include="*.java" | grep "@RequestParam\|@PathVariable"

输出：高危文件清单（按优先级排序）

阶段2: 参数-文件路径映射检查

基于 java-route-mapper 的输出，检查每个参数是否用作文件路径。

2.1 高危参数识别

从 route_mapper 输出中提取所有 String 类型参数：

2.2 参数追踪

对每个高危参数，追踪其在代码中的使用：

HTTP 参数: filePath (String)
    ↓ 传递
Controller.download(filePath)
    ↓ 传递
Service.readFile(filePath)
    ↓ 拼接
basePath + File.separator + filePath
    ↓ 使用
new FileInputStream(fullPath)  ← 文件读取点

2.3 文件读取点检查

对阶段1发现的每个文件读取点，检查：

1. 文件路径是否可控？

- 完全来自用户输入 → 高危 - 基础路径固定 + 用户输入文件名 → 中危 - 完全硬编码 → 安全

1. 是否有路径校验？

- 白名单目录限制 → 安全 - 文件扩展名校验 → 可能绕过 - 无校验 → 高危

1. 是否过滤路径遍历字符？

- 过滤 ../, ..\\ → 可能安全（需测试绕过） - 无过滤 → 高危

阶段3: 深入检查与报告

3.1 触发 java-route-tracer

当发现以下情况时，调用 java-route-tracer 获取完整调用链：

3.2 执行条件检查

发现文件读取后，必须检查执行条件（详见后续章节）。

3.3 生成报告

整合所有分析结果，生成综合审计报告。

文件读取方法识别

详细规则参见 FILE_READ_METHODS.md

反编译阶段（CRITICAL）

当源码不可用时，必须使用 CFR 反编译器反编译文件操作相关类。

详细策略参见 DECOMPILE_STRATEGY.md

反编译工具调用

# 反编译单个 Controller/Service 类
java -jar {CFR_JAR} /path/to/FileController.class --outputdir {output_path}/decompiled

# 反编译文件操作相关目录
find /path/to/WEB-INF/classes/com/example/controller -name "*.class" | xargs java -jar {CFR_JAR} --outputdir {output_path}/decompiled

# 反编译多个指定文件
java -jar {CFR_JAR} /path/to/FileController.class /path/to/FileService.class /path/to/FileUtil.class --outputdir {output_path}/decompiled

输出文件命名规范：

• 反编译后的文件保存在 {output_dir} 目录
• 文件名格式：{ClassName}.java
• 保持原始包结构：com/example/controller/FileController.java

必须反编译的类

执行条件检查（CRITICAL - 避免误报）

发现文件读取代码后，必须检查该代码是否真的会被执行！

1. 路径校验检查

在发现文件读取后，必须检查是否存在路径校验：

2. 代码路径可达性分析

追踪从入口到文件读取的完整路径，检查：

3. 结论分级（必须标注）

路径遍历检测规则速查

⚠️ 高危模式检测（CRITICAL）

⚠️ 安全 vs 危险模式

安全模式示例：

// 安全: 路径规范化 + 白名单目录校验
String basePath = "/var/uploads";
File file = new File(basePath, fileName);
String canonicalPath = file.getCanonicalPath();
if (!canonicalPath.startsWith(basePath)) {
    throw new SecurityException("Path traversal detected");
}

审计检查清单（防遗漏）

必须搜索的危险模式

在审计开始时，必须执行以下搜索：

# 文件读取方法检测
grep -r "FileInputStream\|FileReader\|BufferedReader" --include="*.java"
grep -r "Files.readAllBytes\|Files.readAllLines\|Files.lines" --include="*.java"

# 路径拼接检测
grep -r "new File.*\+" --include="*.java"
grep -r "File.separator" --include="*.java"

# 下载接口检测
grep -r "download\|readFile\|getFile" --include="*.java"

数据流追踪（需要时加载 java-route-tracer）

何时需要参数追踪

当发现以下情况时，必须加载 java-route-tracer 技能进行深度追踪：

报告生成

输出单个综合审计报告文件：

{project_name}_audit/file_read_audit/
└── {route_name}/
    └── {project_name}_file_read_audit_{timestamp}.md      # 综合审计报告

路由名说明：

• 路由名从路由路径提取，去掉前缀斜杠和特殊字符
• 例如：/api/file/download → api_file_download
• 例如：/download.action → download

输出格式

严格按照 references/OUTPUT_TEMPLATE.md 中的填充式模板生成输出文件。

• 文件名格式: {project_name}_file_read_audit_{YYYYMMDD_HHMMSS}.md
• 不得修改模板结构、不得增删章节、不得调整顺序
• 所有【填写】占位符必须替换为实际内容
• 通用规范参考: java-shared/OUTPUT_STANDARD.md

验证检查清单

在标记审计完成前，必须执行以下检查：

代码分析检查

• 所有 Controller 类已分析
• 所有 Service/Util 类已分析
• 每个文件操作都有路径来源标注

执行条件检查（CRITICAL）

• 检查了路径校验逻辑
• 检查了代码路径可达性
• 标注了每个漏洞的可利用性状态

漏洞检测检查

• 所有文件读取方法已检测
• 所有路径拼接模式已检测
• 所有参数来源已追踪

报告完整性检查

• 综合审计报告已生成，且通过 OUTPUT_TEMPLATE.md 末尾的自检清单
• 反编译输出文件路径已标注

参考资料

• OUTPUT_TEMPLATE.md - 输出报告填充式模板
• FILE_READ_METHODS.md - Java 文件读取方法详解
• PATH_TRAVERSAL.md - 路径遍历攻击详解
• DECOMPILE_STRATEGY.md - 反编译策略指南