搜索

[16270] 2021-01-02_Spring全家桶各类RCE漏洞浅析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-01-02_Spring全家桶各类RCE漏洞浅析 S p r i n g 全 家 桶 各 类 R C E 漏 洞 浅 析 深 信 服 安 全 团 队   F r e e B u f   2 0 2 1 - 0 1 - 0 2 S p r i n g 全 家 桶 简 介 全 家 桶 简 介 S p r i n g 发 展 到 现 在 ， 全 家 桶 所 包 含 的 内 容 非 常 庞 大 ， 这 里 主 要 介 绍 其 中 关 键 的 5 个 部 分 ， 分 别 是 s p r i n g   f r a m e w o r k 、   s p r i n g b o o t 、   s p r i n g c l o u d 、 s p r i n g   s e c u r i t y 、 s p r i n g   m v c 。 其 中 的 s p r i n g   f r a m e w o r k 就 是 大 家 常 常 提 到 的 s p r i n g ，   这 是 所 有 s p r i n g 内 容 最 基 本 的 底 层 架 构 ， 其 包 含 s p r i n g   m v c 、 s p r i n g b o o t 、 s p r i n g   c o r e 、 I O C 和 A O P 等 等 。 S p r i n g   m v c 就 是 s p r i n g 中 的 一 个 M V C 框 架 ， 主 要 用 来 开 发 w e b 应 用 和 网 络 接 口 ， 但 是 其 使 用 之 前 需 要 配 置 大 量 的 x m l 文 件 ， 比 较 繁 琐 ， 所 以 出 现 s p r i n g b o o t ， 其 内 置 t o m c a t 并 且 内 置 默 认 的 X M L 配 置 信 息 ， 从 而 方 便 了 用 户 的 使 用 。 下 图 就 直 观 表 现 了 他 们 之 间 的 关 系 。 而 s p r i n g   s e c u r i t y 主 要 是 用 来 做 鉴 权 ， 保 证 安 全 性 的 。 S p r i n g C l o u d 基 于 S p r i n g   B o o t ， 简 化 了 分 布 式 系 统 的 开 发 ， 集 成 了 服 务 发 现 、 配 置 管 理 、 消 息 总 线 、 负 载 均 衡 、 断 路 器 、 数 据 监 控 等 各 种 服 务 治 理 能 力 。 整 个 s p r i n g 家 族 有 四 个 重 要 的 基 本 概 念 ， 分 别 是 I O C 、 C o n t e x t 、 B e a n 和 A O P 。 其 中 I O C 指 控 制 反 转 ， 在 s p r i n g 中 的 体 现 就 是 将 对 象 属 性 的 创 建 权 限 回 收 ， 然 后 统 一 配 置 ， 实 现 解 耦 合 ， 便 于 代 码 的 维 护 。 在 实 际 使 用 过 程 中 可 以 通 过 a u t o w i r e d 注 解 ， 不 是 直 接 指 定 某 个 类 ， 将 对 象 的 真 实 类 型 放 置 在 X M L 文 件 中 的 b e a n 中 声 明 ， 具 体 例 子 如 下 ： S p r i n g 将 所 有 创 建 或 者 管 理 的 对 象 称 为 b e a n ， 并 放 在 c o n t e x t 上 下 文 中 统 一 管 理 。 至 于 A O P 就 是 对 各 个 M V C 架 构 的 衔 接 层 做 统 一 处 理 ， 增 强 了 代 码 的 鲁 棒 性 。 下 面 这 张 图 就 形 象 描 述 了 上 述 基 本 概 念 。 < b e a n   n a m e = " W e l c o m e S e r v i c e "   c l a s s = " X X X . X X X . X X X . s e r v i c e . i m p l . W e l c o m e S e r v i c e I m p l " / > p u b l i c   c l a s s   W e l c o m e C o n t r o l l e r   {             @ A u t o w i r e d             p r i v a t e   W e l c o m e S e r v i c e   s e r v i c e ;             @ R e q u e s t M a p p i n g ( " / w e l c o m e " )             p u b l i c   S t r i n g   w e l c o m e ( )   {                     r e t u r n   s e r v i c e . r e t r i e v e W e l c o m e M e s s a g e ( ) ;             }     }
各 子 组 件 介 绍 各 子 组 件 介 绍 S p r i n g 发 展 至 今 ， 整 个 体 系 不 断 壮 大 ， 子 分 类 非 常 庞 大 ， 这 里 只 对 本 次 涉 及 的 一 些 组 件 做 简 单 的 介 绍 。 首 先 是 S p r i n g   W e b s o c k e t ， S p r i n g 内 置 简 单 消 息 代 理 。 这 个 代 理 处 理 来 自 客 户 端 的 订 阅 请 求 ， 将 它 们 存 储 在 内 存 中 ， 并 将 消 息 广 播 到 具 有 匹 配 目 标 的 连 接 客 户 端 。 S p r i n g   D a t a 是 一 个 用 于 简 化 数 据 库 访 问 ， 并 支 持 云 服 务 的 开 源 框 架 ， 其 主 要 目 标 是 使 数 据 库 的 访 问 变 得 方 便 快 捷 。 S p r i n g   D a t a   C o m m o n s 是 S p r i n g   D a t a 下 所 有 子 项 目 共 享 的 基 础 框 架 ， S p r i n g   D a t a 家 族 中 的 所 有 实 现 都 是 基 于 S p r i n g   D a t a   C o m m o n s 。 简 单 点 说 ， S p r i n g   D a t a   R E S T 把 我 们 需 要 编 写 的 大 量 R E S T 模 版 接 口 做 了 自 动 化 实 现 ， 并 符 合 H A L 的 规 范 。 S p r i n g   W e b   F l o w 是 S p r i n g   M V C 的 扩 展 ， 它 支 持 开 发 基 于 流 程 的 应 用 程 序 ， 可 以 将 流 程 的 定 义 和 实 现 流 程 行 为 的 类 和 视 图 分 离 开 来 。 使 用 量 及 使 用 分 布 使 用 量 及 使 用 分 布 根 据 全 网 数 据 统 计 ， 使 用 S p r i n g 的 网 站 多 达 8 0 万 余 ， 其 中 大 部 分 集 中 在 美 国 ， 中 国 的 使 用 量 排 在 第 二 位 。 其 中 香 港 、 北 京 、 上 海 、 广 东 四 省 市 使 用 量 最 高 。 通 过 网 络 空 间 搜 索 引 擎 的 数 据 统 计 和 柱 状 图 表 ， 如 下 图 所 示 。 漏 洞 背 景 介 绍 （ 漏 洞 背 景 介 绍 （ S p E L 使 用 ） 使 用 ） 0 x 1 0   S p E L 是 什 么 是 什 么 S p E L 是 基 于 s p r i n g 的 一 个 表 达 式 语 言 ， 类 似 于 s t r u t s 的 O G N L ， 能 够 在 运 行 时 动 态 执 行 一 些 运 算 甚 至 一 些 指 令 ， 类 似 于 J a v a 的 反 射 功 能 。 就 使
用 方 法 上 来 看 ， 一 共 分 为 三 类 ， 分 别 是 直 接 在 注 解 中 使 用 ， 在 X M L 文 件 中 使 用 和 直 接 在 代 码 块 中 使 用 。 0 x 2 0   S p E L 能 做 什 么 能 做 什 么 ●   基 本 表 达 式 包 括 逻 辑 运 算 ， 三 目 运 算 和 正 则 表 达 式 等 等 。 ●   类 操 作 表 达 式 对 象 方 法 调 用 ， 对 象 属 性 引 用 ， 自 定 义 函 数 和 类 实 例 化 等 等 。 ●   集 （ 平 台 不 让 发 j i h e ） 合 操 作 表 达 式 字 典 的 访 问 ， 投 影 和 修 改 等 等 。 ●   其 他 表 达 式 模 板 表 达 式 0 x 3 0   S p E L   d e m o 0 x 3 1   基 于 注 解 的 基 于 注 解 的 S p E L 可 以 结 合 s p i n g 的 @ V a l u e 注 解 来 使 用 ， 可 以 直 接 初 始 化 B e a n 的 属 性 值 在 这 种 情 况 下 可 以 直 接 将 t e s t 的 值 初 始 化 为 A A A 。 此 外 ， 还 有 很 多 其 他 注 解 的 使 用 方 式 ， 可 以 结 合 上 面 提 到 的 表 达 式 的 四 种 使 用 模 式 。 0 x 3 2   基 于 基 于 X M L 的 的 S p E L 可 以 直 接 在 X M L 文 件 中 使 用 S p E L 表 达 式 如 下 ： 上 面 的 代 码 将 会 输 出 H e l l o   W o r l d ! ， 可 以 看 到 递 归 往 下 找 到 w o r l d 的 值 ， 最 终 成 功 返 回 。 0 x 3 3   字 符 串 操 作 字 符 串 操 作 @ R e s t C o n t r o l l e r c l a s s   S a n g f o r   {         @ V a l u e ( v a l u e   =   " $ { ' a a a ' . t o U p p e r C a s e ( ) } " )         p r i v a t e   S t r i n g   t e s t ;         p u b l i c   S t r i n g   g e t T e s t ( ) { r e t u r n   t e s t ; }         p u b l i c   v o i d   s e t T e s t ( S t r i n g   v a l u e ) { t h i s . t e s t   =   v a l u e ; } } p u b l i c   c l a s s   S p E L   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s ) {                 A p p l i c a t i o n C o n t e x t   c t x   =   n e w   C l a s s P a t h X m l A p p l i c a t i o n C o n t e x t ( " t e s t . x m l " ) ;                 S t r i n g   h e l l o   =   c t x . g e t B e a n ( " h e l l o " ,   S t r i n g . c l a s s ) ;                 S y s t e m . o u t . p r i n t l n ( h e l l o ) ;         } } i m p o r t   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . E x p r e s s i o n ;
注 ： 类 似 的 字 符 串 操 作 比 如 t o U p p e r C a s e ( ) ， s u b s t r ( ) 等 等 0 x 3 4   类 相 关 操 作 类 相 关 操 作 使 用 T ( c l a s s ) 来 表 示 类 的 实 例 ， 除 了 j a v a . l a n g 的 包 ， 剩 下 的 包 需 要 指 明 。 此 外 还 可 以 访 问 类 的 静 态 方 法 和 静 态 字 段 ， 甚 至 实 例 化 类 。 如 上 述 操 作 ， 最 终 就 可 以 执 行 命 令 ， 弹 出 计 算 器 。 这 也 是 后 面 S p E L   R C E 漏 洞 的 利 用 形 式 。 0 x 3 5   集 （ 平 台 不 让 发 集 （ 平 台 不 让 发 j i h e ） 合 相 关 操 作 ） 合 相 关 操 作 i m p o r t   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . E x p r e s s i o n ; i m p o r t   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . E x p r e s s i o n P a r s e r ; i m p o r t   o r g . s p r i n g f r a m e w o r k . e x p r e s s i o n . s p e l . s t a n d a r d . S p e l E x p r e s s i o n P a r s e r ; p u b l i c   c l a s s   S p E L   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s ) {                 E x p r e s s i o n P a r s e r   p a r s e r   =   n e w   S p e l E x p r e s s i o n P a r s e r ( ) ;                 / /   E x p r e s s i o n   e x p   =   p a r s e r . p a r s e E x p r e s s i o n ( " ' H e l l o   ' . c o n c a t ( ' W o r l d ' ) " ) ;                 E x p r e s s i o n   e x p   =   p a r s e r . p a r s e E x p r e s s i o n ( " ' H e l l o   '   +   ' W o r l d ' " ) ;                 S t r i n g   m e s s a g e   =   ( S t r i n g )   e x p . g e t V a l u e ( ) ;                 S y s t e m . o u t . p r i n t l n ( m e s s a g e ) ;         } } p u b l i c   c l a s s   S p E L   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s ) {                 E x p r e s s i o n P a r s e r   p a r s e r   =   n e w   S p e l E x p r e s s i o n P a r s e r ( ) ;                 E x p r e s s i o n   e x p   =   p a r s e r . p a r s e E x p r e s s i o n ( " T ( R u n t i m e ) . g e t R u n t i m e ( ) . e x e c ( ' c a l c . e x e ' ) " ) ;                 O b j e c t   m e s s a g e   =   e x p . g e t V a l u e ( ) ;                 S y s t e m . o u t . p r i n t l n ( m e s s a g e ) ;         } } p u b l i c   c l a s s   S p E L   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s ) {                 E x p r e s s i o n P a r s e r   p a r s e r   =   n e w   S p e l E x p r e s s i o n P a r s e r ( ) ;                 E x p r e s s i o n   e x p   =   p a r s e r . p a r s e E x p r e s s i o n ( " { ' s a n g f o r ' ,   ' b u s y e r ' ,   ' t e s t ' } " ) ;                 L i s t < S t r i n g >   m e s s a g e   =   ( L i s t < S t r i n g > )   e x p . g e t V a l u e ( ) ;                 S y s t e m . o u t . p r i n t l n ( m e s s a g e . g e t ( 1 ) ) ;     / / b u s y e r         }
通 过 上 面 的 操 作 ， 可 以 将 字 符 串 转 化 成 数 组 ， 最 终 可 以 输 出 b u s y e r 。 S p E L 原 理 原 理 首 先 来 了 解 几 个 概 念 ： ●   表 达 式 可 以 认 为 就 是 传 入 的 字 符 串 内 容 ●   解 析 器 将 字 符 串 解 析 为 表 达 式 内 容 ●   上 下 文 表 达 式 对 象 执 行 的 环 境 ●   根 对 象 和 活 动 上 下 文 对 象 根 对 象 是 默 认 的 活 动 上 下 文 对 象 ， 活 动 上 下 文 对 象 表 示 了 当 前 表 达 式 操 作 的 对 象 具 体 的 流 程 如 下 ， 其 实 就 是 编 译 原 理 里 面 的 词 法 分 析 和 句 法 分 析 ： （ 1 ） 首 先 给 定 表 达 式 1 + 2 （ 2 ） 然 后 给 定 S p e l E x p r e s s i o n P a r s e r 解 析 器 ， 该 解 析 器 就 实 现 了 上 图 中 的 分 析 （ 3 ） 定 义 上 下 文 对 象 ， 这 个 是 可 选 的 ， 默 认 是 S t a n d a r d E v a l u a t i o n C o n t e x t （ 4 ） 使 用 表 达 式 对 象 求 值 ， 例 如 g e t V a l u e 具 体 代 码 如 下 ：         } } E x p r e s s i o n P a r s e r   p a r s e r   =   n e w   S p e l E x p r e s s i o n P a r s e r ( ) ; E x p r e s s i o n   e x p   =   p a r s e r . p a r s e E x p r e s s i o n ( " { ' s a n g f o r ' ,   ' b u s y e r ' ,   ' t e s t ' } " ) ;
r o o t 和 和 t h i s S p E L 中 # r o o t 总 是 指 的 刚 开 始 的 表 达 式 对 象 ， 而 # t h i s 总 是 指 的 当 前 的 表 达 式 对 象 ， 用 他 们 可 以 直 接 操 作 当 前 上 下 文 。 S i m p l e E v a l u a t i o n C o n t e x t 和 和 S t a n d a r d E v a l u a t i o n C o n t e x t S i m p l e E v a l u a t i o n C o n t e x t :   不 包 含 类 相 关 的 危 险 操 作 ， 比 较 安 全 S t a n d a r d E v a l u a t i o n C o n t e x t :   包 含 所 有 功 能 ， 存 在 风 险 高 危 漏 洞 介 绍 高 危 漏 洞 介 绍 通 过 对 S p r i n g 漏 洞 的 收 集 和 整 理 ， 过 滤 出 其 中 影 响 较 大 的 远 程 代 码 执 行 高 危 漏 洞 ， 可 以 得 出 如 下 列 表 ： 从 上 表 可 以 看 出 ， 这 些 漏 洞 分 布 在 S p r i n g 不 同 的 子 分 类 之 间 ， 且 大 多 都 是 较 低 的 版 本 ， 用 户 只 要 及 时 升 级 高 版 本 并 及 时 关 注 新 的 漏 洞 信 息 即 可 轻 松 规 避 这 些 漏 洞 。 尽 管 近 期 没 有 出 现 相 关 漏 洞 ， 但 是 这 些 高 风 险 漏 洞 依 然 不 可 忽 视 。 这 里 面 出 现 的 漏 洞 大 多 不 需 要 复 杂 的 配 置 就 可 以 直 接 攻 击 成 功 ， 从 而 执 行 任 意 代 码 ， 危 害 较 大 。 所 以 ， 开 发 者 在 使 用 开 发 者 在 使 用 S p r i n g 进 行 开 发 的 过 程 中 ， 一 定 要 关 注 其 历 史 风 险 点 ， 尽 量 规 避 高 危 漏 进 行 开 发 的 过 程 中 ， 一 定 要 关 注 其 历 史 风 险 点 ， 尽 量 规 避 高 危 漏 洞 ， 减 少 修 改 不 必 要 的 配 置 信 息 。 洞 ， 减 少 修 改 不 必 要 的 配 置 信 息 。 漏 洞 利 用 链 漏 洞 利 用 链 上 述 漏 洞 基 本 不 依 赖 其 他 S p r i n g 漏 洞 即 可 直 接 获 取 权 限 ， 下 图 对 其 利 用 方 式 做 了 简 要 概 述 ： 高 可 利 用 漏 洞 分 析 高 可 利 用 漏 洞 分 析 / / S t a n d a r d E v a l u a t i o n C o n t e x t   c o n t e x t   =   n e w   S t a n d a r d E v a l u a t i o n C o n t e x t ( ) ; S t r i n g   m e s s a g e   =   ( S t r i n g ) e x p . g e t V a l u e ( c o n t e x t ,   S t r i n g . c l a s s ) ;
1   C V E - 2 0 1 8 - 1 2 7 0 1 . 1   威 胁 等 级 威 胁 等 级 严 重 1 . 2   影 响 范 围 影 响 范 围 S p r i n g   F r a m e w o r k   5 . 0   -   5 . 0 . 5 S p r i n g   F r a m e w o r k   4 . 3   -   4 . 3 . 1 5 1 . 3   利 用 难 度 利 用 难 度 简 单 1 . 4   漏 洞 描 述 漏 洞 描 述 在 上 面 描 述 的 存 在 漏 洞 的 S p r i n g   F r a m e w o r k 版 本 中 ， 允 许 应 用 程 序 通 过 s p r i n g - m e s s a g i n g 模 块 内 存 中 S T O M P 代 理 创 建 W e b S o c k e t 。 攻 击 者 可 以 向 代 理 发 送 消 息 ， 从 而 导 致 远 程 执 行 代 码 攻 击 。 1 . 5   漏 洞 分 析 漏 洞 分 析 点 击 c o n n e c t ， 首 先 将 触 发 D e f a u l t S u b s c r i p t i o n R e g i s t r y . j a v a 中 的 a d d S u b s c r i p t i o n I n t e r n a l 方 法 ， 第 8 0 行 将 首 部 的 s e l e c t o r 字 段 的 值 取 出 ， 就 是 我 们 之 前 传 入 的 恶 意 表 达 式 ， 接 着 到 8 3 行 ， 这 一 步 就 很 熟 悉 了 ， 使 用 解 析 器 去 解 析 表 达 式 ， 显 然 这 个 时 候 再 有 一 个 g e t V a l u e 方 法 触 发 并 且 没 有 使 用 s i m p l e E v a l u a t i o n C o n t e x t 就 能 够 直 接 执 行 我 们 传 入 的 表 达 式 了 。 监 听 网 络 流 量 ， 发 现 后 面 s e n d 信 息 的 时 候 ， 将 会 将 消 息 分 发 给 不 同 的 订 阅 者 ， 并 且 转 发 的 消 息 还 会 包 含 之 前 c o n n e c t 的 上 下 文 ， 即 这 里 的 e x p r e s s i o n 将 会 包 含 在 内 。
于 是 ， 尝 试 随 便 在 文 本 框 中 输 入 一 些 内 容 ， 然 后 点 击 S e n d ， 最 终 可 以 触 发 S i m p l e B r o k e r M e s s a g e H a n d l e r . j a v a 中 的 s e n d M e s s a g e T o S u b s c r i b e r s 方 法 如 下 ： 继 续 进 入 f i n d S u b s c r i p t i o n s 方 法 ， 并 且 不 断 往 下 走 ， 最 终 可 以 发 现 在 D e f a u l t S u b s c r i p t i o n R e g i s t r y . j a v a 中 f i l t e r S u b s c r i p t i o n s 方 法 中 对 上 下 文 中 的 e x p r e s i o n 做 了 提 取 ， 并 使 用 S t a n d a r d E v a l u a t i o n C o n t e x t 指 定 了 上 下 文 ， 也 就 是 说 这 里 面 可 以 直 接 执 行 代 码 ， 没 有 任 何 限 制 。 并 最 终 在 第 1 6 4 行 使 用 g e t V a l u e 方 法 触 发 漏 洞 ， 弹 出 计 算 器 。 1 . 6   补 丁 分 析 补 丁 分 析 补 丁 中 直 接 将 上 面 的 S t a n d a r d E v a l u a t i o n C o n t e x t 替 换 成 S i m p l e E v a l u a t i o n C o n t e x t ， 使 用 该 方 法 能 够 避 免 了 恶 意 类 的 加 载 。 2   C V E - 2 0 1 8 - 1 2 7 3 2 . 1   威 胁 等 级 威 胁 等 级 严 重 2 . 2   影 响 范 围 影 响 范 围 S p r i n g   D a t a   C o m m o n s   1 . 1 3   -   1 . 1 3 . 1 0   ( I n g a l l s   S R 1 0 ) S p r i n g   D a t a   R E S T   2 . 6   -   2 . 6 . 1 0   ( I n g a l l s   S R 1 0 ) S p r i n g   D a t a   C o m m o n s   2 . 0   t o   2 . 0 . 5   ( K a y   S R 5 ) S p r i n g   D a t a   R E S T   3 . 0   -   3 . 0 . 5   ( K a y   S R 5 ) 2 . 3   利 用 难 度 利 用 难 度 简 单 2 . 4   漏 洞 描 述 漏 洞 描 述 S p r i n g   D a t a   C o m m o n s 组 件 中 存 在 远 程 代 码 执 行 漏 洞 ， 攻 击 者 可 构 造 包 含 有 恶 意 代 码 的 S P E L 表 达 式 实 现 远 程 代 码 攻 击 ， 直 接 获 取 服 务 器 控 制 权 限 。 2 . 5   漏 洞 分 析 漏 洞 分 析 从 上 述 / u s e r s 入 口 ， 最 终 会 调 用 到 M a p P r o p e r t y A c c e s s o r 静 态 类 中 对 用 户 名 进 行 处 理 。 而 在 该 类 中 包 含 了 进 行 S p E L 注 入 需 要 满 足 的 条 件 如 下 ： ●   首 先 创 建 解 析 器 ：
●   接 着 使 用 S t a n d a r d 上 下 文 ●   然 后 包 含 待 解 析 表 达 式 ●   最 后 使 用 s e t V a l u e 触 发 2 . 6   补 丁 分 析 补 丁 分 析 补 丁 依 旧 直 接 将 上 面 的 S t a n d a r d E v a l u a t i o n C o n t e x t 替 换 成 S i m p l e E v a l u a t i o n C o n t e x t ， 使 用 该 方 法 能 够 避 免 了 恶 意 类 的 加 载 。 3   C N V D - 2 0 1 6 - 0 4 7 4 2 3 . 1   威 胁 等 级 威 胁 等 级 严 重 3 . 2   影 响 范 围 影 响 范 围 S p r i n g b o o t   1 . 1 . 0 - 1 . 1 . 1 2 S p r i n g b o o t   1 . 2 . 0 - 1 . 2 . 7 S p r i n g b o o t   1 . 3 . 0 3 . 3   利 用 难 度 利 用 难 度 简 单 3 . 4   漏 洞 描 述 漏 洞 描 述 低 版 本 的 s p r i n g b o o t 在 处 理 内 部 5 0 0 错 误 时 ， 使 用 了 s p e l 表 达 式 ， 并 且 递 归 向 下 解 析 嵌 套 的 ， 其 中 m e s s a g e 参 数 是 从 外 部 传 过 来 的 ， 用 户 就 可 以 构 造 一 个 s p e l 表 达 式 ， 达 到 远 程 代 码 执 行 的 效 果 。 3 . 5   漏 洞 分 析 漏 洞 分 析 访 问 上 面 的 U R L ， 可 以 进 入 到 我 们 的 控 制 器 ， 并 紧 接 着 抛 出 异 常 如 下 ： 进 入 异 常 的 代 码 ， 经 过 冗 长 的 代 码 调 试 ， 最 终 可 以 来 到 关 键 点 的 r e n d e r 方 法 ： 接 着 进 入 r e n d e r 方 法 查 看 ， 这 里 面 的 r e p l a c e P l a c e h o l d e r s 方 法 将 会 进 行 形 如 $ { } 的 s p e l 表 达 式 替 换 ：
进 入 该 方 法 查 看 ， 最 后 进 入 p a r s e S t r i n g V a l u e 方 法 , 该 方 法 会 循 环 将 带 有 $ { } 的 错 误 页 面 的 H T M L 字 符 串 中 的 一 个 个 $ { } 的 内 容 进 行 替 换 ， 并 且 这 里 面 的 $ { m e s s a g e } 是 我 们 传 入 的 值 。 于 是 可 以 就 此 构 造 我 们 的 p a y l o a d ， 借 助 他 的 循 环 ， 继 续 解 析 s p e l ， 最 终 造 成 任 意 代 码 执 行 。 其 中 ， 解 析 s p e l 的 代 码 如 下 ： 3 . 6   补 丁 分 析 补 丁 分 析 通 过 添 加 一 个 N o n R e c u r s i v e P r o p e r t y P l a c e h o l d e r H e l p e r 类 ， 对 于 二 次 解 析 的 值 进 行 限 制 ： 4   C V E - 2 0 1 7 - 8 0 4 6 4 . 1   威 胁 等 级 威 胁 等 级 严 重 4 . 2   影 响 范 围 影 响 范 围 S p r i n g   D a t a   R E S T   p r i o r   t o   3 . 0 . 1   a n d   S p r i n g   B o o t   v e r s i o n s   p r i o r   t o   1 . 5 . 9 S p r i n g   D a t a   R E S T   p r i o r   t o   2 . 6 . 9   S p r i n g   B o o t   v e r s i o n s   p r i o r   t o   1 . 5 . 9 4 . 3   利 用 难 度 利 用 难 度 简 单 4 . 4   漏 洞 描 述 漏 洞 描 述 用 户 在 使 用 P A T C H 方 法 局 部 更 新 某 个 值 的 时 候 ， 其 中 的 p a t h 参 数 会 被 传 入 S p E L 表 达 式 ， 进 而 导 致 代 码 执 行 。 4 . 5   漏 洞 分 析 漏 洞 分 析
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理