文章总结： 本文介绍使用java-audit-skills工具对JavaSecLab项目进行代码审计。审计发现6个无鉴权的Critical漏洞（文件上传webshell、JPQL注入、任意文件读取等），以及Shiro-550、Log4Shell等反序列化风险。审计覆盖252条路由和5个专项审计，消耗约2kwTokens。建议优先修复无鉴权漏洞并激活ShiroFilter。 综合评分： 87 文章分类： 代码审计,漏洞分析,渗透测试,红队,安全工具

安装

环境

• • cc-switch
• • claude code
• • deepseek v4 pro

使用 Skill 分析项目

分析的靶场：JavaSecLab https://github.com/whgojp/JavaSecLab

代码审计

/java-audit-pipeline JavaSecLab

审计结论

JavaSecLab 是一个 Spring Boot 2.4.1 教学/实验性质的 Web 安全漏洞演示项目。本次全链路安全审计通过 19 个 agent 协作完成，覆盖了路由提取、鉴权审计、组件漏洞扫描、交叉分析分级、45 条 P0 路由的完整调用链追踪，以及 SQL 注入/XXE/文件上传/文件读取/反序列化 5 个专项审计和 19 份 QA 报告。

核心发现

1. 1. 6 个无鉴权可直接利用的 Critical 漏洞 (文件上传 webshell / JPQL 注入 / 任意文件读取/下载/删除) 构成最紧急的威胁，攻击者无需任何凭证即可实现系统完全沦陷。
2. 2. Shiro SHIRO-550 (CVE-2016-4437)”定时炸弹”风险：AES 硬编码密钥已知、CC 3.2.1 gadget 就绪、enableUnsafeSerialization 已启用，所有利用条件均已满足，仅 ShiroFilter 未激活暂阻利用。一行代码即可激活。
3. 3. Log4Shell + Fastjson + CC 反序列化”三件套” 构成需认证的完整 RCE 攻击链，配合 permitAll 白名单过宽 (H-AUTH-001) + 全局 CORS 通配符 (H-AUTH-004) + CSRF 禁用 (L-AUTH-003) 的组合配置缺陷，攻击者可通过跨域钓鱼获取已登录用户 Session 变相绕过认证。
4. 4. 审计覆盖完整性达到高水平：252 条路由全部鉴权映射，45 条 P0 路由全部完成调用链追踪，5 个专项审计覆盖 25 个 SQL 操作点、10 个 XML 解析点、6 个文件操作端点、20 个反序列化 sink。
5. 5. QA 质量管控体系有效：19 份 QA 报告发现 7 个偏差 (2 个 Medium, 5 个 Low)，无阻断性缺陷，所有偏差均已记录并可在后续版本中修正。

大模型消耗

差不多 2kw Tokens

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：进击的HACK 进击的HACK 进击的HACK《通过java-audit-skills分析Java源码》