java page import file leak

모의해킹 진행하면서 배운 거 정리해봄.

이거 좀만 빨리 알았으면 더 찾았을텐데 아쉽게 좀 늦게 알았음.

 

아래 사진처럼 사용자가 만든 클래스를 다른 파일에 임포트하는 방법이 있다.

java.util.*은 java라는 파일 내에 util이라는 클래스 내의 모든 메소드들을 가져다 쓰겠다는 의미이다.

근데 java로 시작하는 건 약간 c++의 STL같은 느낌이니 사용자가 임의로 만든건 아니다.그렇게 중요한 내용이 들어있진 않다.

 

 

사진 마지막에 com.rps.common.utils.*을 보면

com/rps/common/utils.class 를 가져오면 어떤 메소드들이 있는지 알 수 있다.

근데 저 디렉토리만 있는게 아니라 앞에

WebContent/WEB-INF/classes를 붙여줘야 한다.

 

WebContent/WEB-INF/classes/com/rps/common/utils.class

이렇게 파일릭 하면 임포트된 메소드들을 확인할 수 있다. 물론 파일릭 취약점이 있어야 가능하다는 점.

 

아주 유용하게 사용할 수 있을듯!