搜索

[13862] 2019-03-13_Java代码审计之SpEL表达式注入

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-03-13_Java代码审计之SpEL表达式注入 J a v a 代 码 审 计 之 S p E L 表 达 式 注 入 L a t e i n k   F r e e B u f   2 0 1 9 - 0 3 - 1 3 S p E L   表 达 式 注 入 表 达 式 注 入 S p r i n g   E x p r e s s i o n   L a n g u a g e （ 简 称 （ 简 称   S p E L ） 是 一 种 功 能 强 大 的 表 达 式 语 言 、 用 于 在 运 行 时 查 询 和 操 作 对 象 图 ； ） 是 一 种 功 能 强 大 的 表 达 式 语 言 、 用 于 在 运 行 时 查 询 和 操 作 对 象 图 ； 语 法 上 类 似 于 语 法 上 类 似 于   U n i f i e d   E L ， 但 提 供 了 更 多 的 特 性 ， 特 别 是 方 法 调 用 和 基 本 字 符 串 模 板 函 数 。 ， 但 提 供 了 更 多 的 特 性 ， 特 别 是 方 法 调 用 和 基 本 字 符 串 模 板 函 数 。 S p E L   的 诞 生 是 为 的 诞 生 是 为 了 给 了 给   S p r i n g   社 区 提 供 一 种 能 够 与 社 区 提 供 一 种 能 够 与   S p r i n g   生 态 系 统 所 有 产 品 无 缝 对 接 ， 能 提 供 一 站 式 支 持 的 表 达 式 语 言 。 生 态 系 统 所 有 产 品 无 缝 对 接 ， 能 提 供 一 站 式 支 持 的 表 达 式 语 言 。   S p E L   表 达 式 表 达 式 基 本 表 达 式 基 本 表 达 式 字 面 量 表 达 式 、 关 系 ， 逻 辑 与 算 数 运 算 表 达 式 、 字 符 串 链 接 及 截 取 表 达 式 、 三 目 运 算 、 正 则 表 达 式 以 及 括 号 优 先 级 表 达 式 ； 类 相 关 表 达 式 类 相 关 表 达 式 类 类 型 表 达 式 、 类 实 例 化 、 i n s t a n c e o f   表 达 式 、 变 量 定 义 及 引 用 、 赋 值 表 达 式 、 自 定 义 函 数 、 对 象 属 性 存 取 及 安 全 导 航 表 达 式 、 对 象 方 法 调 用 、 B e a n   引 用 ； 集 合 相 关 表 达 式 集 合 相 关 表 达 式 内 联   L i s t 、 内 联 数 组 、 集 合 、 字 典 访 问 、 列 表 、 字 典 ； 其 他 表 达 式 其 他 表 达 式 模 版 表 达 式 S p E L   基 础 基 础 在   p o m . x m l   导 入   m a v e n   或 是 把 " o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n - 3 . 0 . 5 . R E L E A S E . j a r " 添 加 到 类 路 径 中 S p E L   使 用 方 式 S p E L   在 求 表 达 式 值 时 一 般 分 为 四 步 ， 其 中 第 三 步 可 选 ： 首 先 构 造 一 个 解 析 器 ， 其 次 解 析 器 解 析 字 符 串 表 达 式 ， 在 此 构 造 上 下 文 ， 最 后 根 据 上 下 文 得 到 表 达 式 运 算 后 的 值 。 1 . 创 建 解 析 器 ： S p E L   使 用 使 用   E x p r e s s i o n P a r s e r   接 口 表 示 解 析 器 ， 提 供 接 口 表 示 解 析 器 ， 提 供   S p e l E x p r e s s i o n P a r s e r   默 认 实 现 ； 默 认 实 现 ； < p r o p e r t i e s >         < o r g . s p r i n g f r a m e w o r k . v e r s i o n > 5 . 0 . 8 . R E L E A S E < / o r g . s p r i n g f r a m e w o r k . v e r s i o n > < / p r o p e r t i e s > < d e p e n d e n c y >             < g r o u p I d > o r g . s p r i n g f r a m e w o r k < / g r o u p I d >             < a r t i f a c t I d > s p r i n g - e x p r e s s i o n < / a r t i f a c t I d >             < v e r s i o n > $ { o r g . s p r i n g f r a m e w o r k . v e r s i o n } < / v e r s i o n > < / d e p e n d e n c y >   E x p r e s s i o n P a r s e r   p a r s e r   =   n e w   S p e l E x p r e s s i o n P a r s e r ( ) ;   E x p r e s s i o n   e x p r e s s i o n   =   p a r s e r . p a r s e E x p r e s s i o n ( " ( ' H e l l o '   +   '   f r e e b u f ' ) . c o n c a t ( # e n d ) " ) ;   E v a l u a t i o n C o n t e x t   c o n t e x t   =   n e w   S t a n d a r d E v a l u a t i o n C o n t e x t ( ) ;   c o n t e x t . s e t V a r i a b l e ( " e n d " ,   " ! " ) ;   S y s t e m . o u t . p r i n t l n ( e x p r e s s i o n . g e t V a l u e ( c o n t e x t ) ) ;
2 . 解 析 表 达 式 ： 使 用   E x p r e s s i o n P a r s e r   的   p a r s e E x p r e s s i o n   来 解 析 相 应 的 表 达 式 为   E x p r e s s i o n   对 象 。 3 . 构 造 上 下 文 ： 准 备 比 如 变 量 定 义 等 等 表 达 式 需 要 的 上 下 文 数 据 。 4 . 求 值 ： 通 过   E x p r e s s i o n   接 口 的   g e t V a l u e   方 法 根 据 上 下 文 获 得 表 达 式 值 。 S p E L   主 要 接 口 1 . E x p r e s s i o n P a r s e r   接 口 接 口 ： 表 示 解 析 器 ， 默 认 实 现 是   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . s p e l . s t a n d a r d   包 中 的 S p e l E x p r e s s i o n P a r s e r   类 ， 使 用   p a r s e E x p r e s s i o n   方 法 将 字 符 串 表 达 式 转 换 为   E x p r e s s i o n   对 象 ， 对 于   P a r s e r C o n t e x t   接 口 用 于 定 义 字 符 串 表 达 式 是 不 是 模 板 ， 及 模 板 开 始 与 结 束 字 符 ； 事 例   d e m o 演 示 的 是 使 用   P a r s e r C o n t e x t   的 情 况 ， 此 处 定 义 了   P a r s e r C o n t e x t   实 现 ： 定 义 表 达 式 是 模 块 ， 表 达 式 前 缀 为 「 # { 」 ， 后 缀 为 「 } 」 ； 使 用   p a r s e E x p r e s s i o n   解 析 时 传 入 的 模 板 必 须 以 「 # { 」 开 头 ， 以 「 } 」 结 尾 。 默 认 传 入 的 字 符 串 表 达 式 不 是 模 板 形 式 ， 如 之 前 演 示 的   H e l l o   W o r l d 。 E v a l u a t i o n C o n t e x t   接 口 接 口 ： 表 示 上 下 文 环 境 ， 默 认 实 现 是   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . s p e l . s u p p o r t   包 中 的 S t a n d a r d E v a l u a t i o n C o n t e x t   类 ， 使 用   s e t R o o t O b j e c t   方 法 来 设 置 根 对 象 ， 使 用   s e t V a r i a b l e   方 法 来 注 册 自 定 义 变 量 ， 使 用   r e g i s t e r F u n c t i o n   来 注 册 自 定 义 函 数 等 等 。 E x p r e s s i o n   接 口 接 口 ： 表 示 表 达 式 对 象 ， 默 认 实 现 是   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . s p e l . s t a n d a r d   包 中 的 S p e l E x p r e s s i o n ， 提 供   g e t V a l u e   方 法 用 于 获 取 表 达 式 值 ， 提 供   s e t V a l u e   方 法 用 于 设 置 对 象 值 。 S p E L   语 法   -   类 相 关 表 达 式 类 类 型 表 达 式 ： 使 用 使 用 " T ( T y p e ) " 来 表 示 来 表 示   j a v a . l a n g . C l a s s   实 例 ， 实 例 ， " T y p e " 必 须 是 类 全 限 定 名 ， 必 须 是 类 全 限 定 名 ， " j a v a . l a n g " 包 除 外 ， 即 包 除 外 ， 即 该 包 下 的 类 可 以 不 指 定 包 名 ； 使 用 类 类 型 表 达 式 还 可 以 进 行 访 问 类 静 态 方 法 及 类 静 态 字 段 。 该 包 下 的 类 可 以 不 指 定 包 名 ； 使 用 类 类 型 表 达 式 还 可 以 进 行 访 问 类 静 态 方 法 及 类 静 态 字 段 。 具 体 使 用 方 法 p u b l i c   i n t e r f a c e   E x p r e s s i o n P a r s e r   {             E x p r e s s i o n   p a r s e E x p r e s s i o n ( S t r i n g   e x p r e s s i o n S t r i n g ) ;             E x p r e s s i o n   p a r s e E x p r e s s i o n ( S t r i n g   e x p r e s s i o n S t r i n g ,   P a r s e r C o n t e x t   c o n t e x t ) ;     } E x p r e s s i o n P a r s e r   p a r s e r   =   n e w   S p e l E x p r e s s i o n P a r s e r ( ) ; P a r s e r C o n t e x t   p a r s e r C o n t e x t   =   n e w   P a r s e r C o n t e x t ( )   {         @ O v e r r i d e         p u b l i c   b o o l e a n   i s T e m p l a t e ( )   {         r e t u r n   t r u e ;         }         @ O v e r r i d e         p u b l i c   S t r i n g   g e t E x p r e s s i o n P r e f i x ( )   {         r e t u r n   " # { " ;         }         @ O v e r r i d e         p u b l i c   S t r i n g   g e t E x p r e s s i o n S u f f i x ( )   {         r e t u r n   " } " ;         } } ; S t r i n g   t e m p l a t e   =   " # { ' h e l l o   ' } # { ' f r e e b u f ! ' } " ; E x p r e s s i o n   e x p r e s s i o n   =   p a r s e r . p a r s e E x p r e s s i o n ( t e m p l a t e ,   p a r s e r C o n t e x t ) ; S y s t e m . o u t . p r i n t l n ( e x p r e s s i o n . g e t V a l u e ( ) ) ;
类 实 例 化 ： 类 实 例 化 同 样 使 用   j a v a   关 键 字 「 n e w 」 ， 类 名 必 须 是 全 限 定 名 ， 但   j a v a . l a n g   包 内 的 类 型 除 外 ， 如 S t r i n g 、 I n t e g e r 。 i n s t a n c e o f   表 达 式 ： S p E L   支 持   i n s t a n c e o f   运 算 符 ， 跟   J a v a   内 使 用 同 义 ； 如 " ' h a h a '   i n s t a n c e o f   T ( S t r i n g ) " 将 返 回   t r u e 。 变 量 定 义 以 及 引 用 ： 变 量 定 义 通 过   E v a l u a t i o n C o n t e x t   接 口 的   s e t V a r i a b l e ( v a r i a b l e N a m e ,   v a l u e )   方 法 定 义 ； 在 表 达 式 中 使 用 " # v a r i a b l e N a m e " 引 用 ； 除 了 引 用 自 定 义 变 量 ， S p E   还 允 许 引 用 根 对 象 及 当 前 上 下 文 对 象 ， 使 用 " # r o o t " 引 用 根 对 象 ， 使 用 " # t h i s " 引 用 当 前 上 下 文 对 象 ； 自 定 义 函 数 ： 目 前 只 支 持 类 静 态 方 法 注 册 为 自 定 义 函 数 ； S p E L   使 用   S t a n d a r d E v a l u a t i o n C o n t e x t   的 r e g i s t e r F u n c t i o n   方 法 进 行 注 册 自 定 义 函 数 ， 其 实 完 全 可 以 使 用   s e t V a r i a b l e   代 替 ， 两 者 其 实 本 质 是 一 样 的 审 计 过 程 审 计 过 程 这 里 拿   S p r i n g   M e s s a g e   远 程 命 令 执 行 漏 洞 来 作 为 例 子 环 境 搭 建 拿 到 项 目 代 码 ， 全 局 搜 索 一 下   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . s p e l . s t a n d a r d ， 发 现   D e f a u l t S u b s c r i p t i o n R e g i s t r y . j a v a 文 件 处 有 导 入 。 再 搜 索 一 下   S p e l E x p r e s s i o n P a r s e r E x p r e s s i o n P a r s e r   p a r s e r   =   n e w   S p e l E x p r e s s i o n P a r s e r ( ) ;                 / /   j a v a . l a n g   包 类 访 问 C l a s s < S t r i n g >   r e s u l t 1   =   p a r s e r . p a r s e E x p r e s s i o n ( " T ( S t r i n g ) " ) . g e t V a l u e ( C l a s s . c l a s s ) ; S y s t e m . o u t . p r i n t l n ( r e s u l t 1 ) ;                 / / 其 他 包 类 访 问 S t r i n g   e x p r e s s i o n 2   =   " T ( j a v a . l a n g . R u n t i m e ) . g e t R u n t i m e ( ) . e x e c ( ' o p e n   / A p p l i c a t i o n s / C a l c u l a t o r . a p p ' ) " ; C l a s s < O b j e c t >   r e s u l t 2   =   p a r s e r . p a r s e E x p r e s s i o n ( e x p r e s s i o n 2 ) . g e t V a l u e ( C l a s s . c l a s s ) ; S y s t e m . o u t . p r i n t l n ( r e s u l t 2 ) ;                 / / 类 静 态 字 段 访 问 i n t   r e s u l t 3   =   p a r s e r . p a r s e E x p r e s s i o n ( " T ( I n t e g e r ) . M A X _ V A L U E " ) . g e t V a l u e ( i n t . c l a s s ) ; S y s t e m . o u t . p r i n t l n ( r e s u l t 3 ) ;                 / / 类 静 态 方 法 调 用 i n t   r e s u l t 4   =   p a r s e r . p a r s e E x p r e s s i o n ( " T ( I n t e g e r ) . p a r s e I n t ( ' 1 ' ) " ) . g e t V a l u e ( i n t . c l a s s ) ; S y s t e m . o u t . p r i n t l n ( r e s u l t 4 ) ; g i t   c l o n e   h t t p s : / / g i t h u b . c o m / s p r i n g - g u i d e s / g s - m e s s a g i n g - s t o m p - w e b s o c k e t g i t   c h e c k o u t   6 9 5 8 a f 0 b 0 2 b f 0 5 2 8 2 6 7 3 8 2 6 b 7 3 c d 7 a 8 5 e 8 4 c 1 2 d 3
往 下 跟 进 发 现 如 下 关 键 代 码 ， 具 体 分 析 看 代 码 注 释 再 搜 索 一 下   t h i s . s u b s c r i p t i o n R e g i s t r y ， 看 看 有 没 有 调 用 传 进 去 的   e x p r e s s i o n 。 然 后 发 现 了 ！ 在 这 里 调 用 了   t h i s . s u b s c r i p t i o n R e g i s t r y . g e t S u b s c r i p t i o n s ( s e s s i o n I d )   并 从 中 取 出   i n f o - > s u b - >   e x p r e s s i o n 。 最 关 键 的 是 ， 这 里 直 接 调 用 了   e x p r e s s i o n . g e t V a l u e ( ) ！ 这 说 明 如 果 能 控 制   S p E L   的 表 达 式 ， 就 能 直 接 命 令 执 行 ！ 再 来 看 看 这 个   f i l t e r S u b s c r i p t i o n s   函 数 在 哪 里 调 用 。 从 函 数 的 调 用 回 溯 追 踪 调 用 链 如 下 ： @ O v e r r i d e p r o t e c t e d   v o i d   a d d S u b s c r i p t i o n I n t e r n a l ( S t r i n g   s e s s i o n I d ,   S t r i n g   s u b s I d ,   S t r i n g   d e s t i n a t i o n ,   M e s s a g e < ? >   m e s s a g e )   { E x p r e s s i o n   e x p r e s s i o n   =   n u l l ; M e s s a g e H e a d e r s   h e a d e r s   =   m e s s a g e . g e t H e a d e r s ( ) ;                 / /   这 里 可 以 看 出   S p E L   表 达 式   e x p r e s s i o n   是 从   h e a d e r s   中 的   s e l e c t o r   字 段 中 取 出 来 S t r i n g   s e l e c t o r   =   S i m p M e s s a g e H e a d e r A c c e s s o r . g e t F i r s t N a t i v e H e a d e r ( g e t S e l e c t o r H e a d e r N a m e ( ) ,   h e a d e r s ) ; i f   ( s e l e c t o r   ! =   n u l l )   { t r y   {                                 / / 生 成   e x p r e s s i o n   对 象 e x p r e s s i o n   =   t h i s . e x p r e s s i o n P a r s e r . p a r s e E x p r e s s i o n ( s e l e c t o r ) ; t h i s . s e l e c t o r H e a d e r I n U s e   =   t r u e ; i f   ( l o g g e r . i s T r a c e E n a b l e d ( ) )   { l o g g e r . t r a c e ( " S u b s c r i p t i o n   s e l e c t o r :   [ "   +   s e l e c t o r   +   " ] " ) ; } } c a t c h   ( T h r o w a b l e   e x )   { i f   ( l o g g e r . i s D e b u g E n a b l e d ( ) )   { l o g g e r . d e b u g ( " F a i l e d   t o   p a r s e   s e l e c t o r :   "   +   s e l e c t o r ,   e x ) ; } } }                 / /   e x p r e s s i o n   传 入   a d d S u b s c r i p t i o n   这 个 函 数 里 面 ， 即 存 放 在   t h i s . s u b s c r i p t i o n R e g i s t r y t h i s . s u b s c r i p t i o n R e g i s t r y . a d d S u b s c r i p t i o n ( s e s s i o n I d ,   s u b s I d ,   d e s t i n a t i o n ,   e x p r e s s i o n ) ; t h i s . d e s t i n a t i o n C a c h e . u p d a t e A f t e r N e w S u b s c r i p t i o n ( d e s t i n a t i o n ,   s e s s i o n I d ,   s u b s I d ) ; }   f i l t e r S u b s c r i p t i o n s   - >   f i n d S u b s c r i p t i o n s I n t e r n a l   - >   f i n d S u b s c r i p t i o n s   - >   s e n d M e s s a g e T o S u b s c r i b e r s
s e n d M e s s a g e T o S u b s c r i b e r s   即 发 送 消 息 的 功 能 回 顾 一 下 整 个 流 程 ， S p E L   表 达 式 从   h e a d e r s   中   s e l e c t o r   获 取 ， 即 发 送 请 求 时 添 加   s e l e c t o r   到 请 求 的   h e a d e r   即 可 传 入 ， 然 后 生 成   e x p r e s s i o n   对 象 传 入   t h i s . s u b s c r i p t i o n R e g i s t r y ， 然 后 当 发 送 消 息 的 时 候 ， 最 终 会 直 接 从 t h i s . s u b s c r i p t i o n R e g i s t r y   取 出 并 调 用   e x p r e s s i o n . g e t V a l u e ( )   执 行 我 们 传 入 的   S p E L   表 达 式 。 验 证 过 程 ， 在   e x p r e s s i o n . g e t V a l u e ( )   这 里 打 个 断 点 ， 看 看 发 送 消 息 是 否 会 拦 截 并 查 看 调 用 链 是 否 如 上 述 分 析 一 样 。 B i n g o ！ 简 单 总 结 一 下   S p E L   表 达 式 注 入 的 分 析 思 路 ， 可 以 先 全 局 搜 索   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . s p e l . s t a n d a r d ,   或 是 e x p r e s s i o n . g e t V a l u e ( ) 、 e x p r e s s i o n . s e t V a l u e ( ) ， 定 位 到 具 体 漏 洞 代 码 ， 再 分 析 传 入 的 参 数 能 不 能 利 用 ， 最 后 再 追 踪 参 数 来 源 ， 看 看 是 否 可 控 。 S p r i n g   D a t a   C o m m o n s   R e m o t e   C o d e   E x e c u t i o n   的   S p E L   注 入 导 致 的 代 码 执 行 同 样 可 以 用 类 似 的 思 路 分 析 。 漏 洞 修 复 漏 洞 修 复 S i m p l e E v a l u a t i o n C o n t e x t 、 S t a n d a r d E v a l u a t i o n C o n t e x t   是   S p E L   提 供 的 两 个   E v a l u a t i o n C o n t e x t S i m p l e E v a l u a t i o n C o n t e x t   -   针 对 不 需 要   S p E L   语 言 语 法 的 全 部 范 围 并 且 应 该 受 到 有 意 限 制 的 表 达 式 类 别 ， 公 开   S p a l   语 言 特 性 和 配 置 选 项 的 子 集 。 S t a n d a r d E v a l u a t i o n C o n t e x t   -   公 开 全 套   S p E L   语 言 功 能 和 配 置 选 项 。 您 可 以 使 用 它 来 指 定 默 认 的 根 对 象 并 配 置 每 个 可 用 的 评 估 相 关 策 略 。 S i m p l e E v a l u a t i o n C o n t e x t   旨 在 仅 支 持   S p E L   语 言 语 法 的 一 个 子 集 。 它 不 包 括   J a v a   类 型 引 用 ， 构 造 函 数 和   b e a n   引 用 ； 所 以 最 直 接 的 修 复 方 式 是 使 用   S i m p l e E v a l u a t i o n C o n t e x t   替 换   S t a n d a r d E v a l u a t i o n C o n t e x t 。 这 是 我 个 人 学 习 代 码 审 计 过 程 中 的 小 总 结 ， 可 能 逻 辑 性 相 对 来 说 没 那 么 严 谨 ， 但 是 个 人 觉 得 这 是 一 个 比 较 通 俗 易 懂 的 分 析 方 法 ， 不 喜 勿 喷 。 参 考 文 章 ： 参 考 文 章 ： s p r i n g - m e s s a g i n g   R e m o t e   C o d e   E x e c u t i o n   分 析 S p E L   表 达 式 注 入 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： L a t e i n k ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理