【网络安全】Spring框架漏洞总结（一）

最新推荐文章于 2024-09-17 06:12:15 发布

万天峰

最新推荐文章于 2024-09-17 06:12:15 发布

阅读量504

点赞数

文章标签： spring web安全 java

本文链接：https://blog.csdn.net/text2204/article/details/128409578

版权

本文介绍了Spring框架的SpEL（Spring Expression Language）及其带来的安全风险，详细讲解了Spring Security OAuth2远程命令执行漏洞（CVE-2016-4977），包括漏洞简介、影响版本、验证和复现过程。此外，还提供了本地环境的IDEA安装步骤，帮助读者理解Spring框架的安全特性。

摘要由CSDN通过智能技术生成

Spring简介

Spring是Java EE编程领域的一个轻量级开源框架，该框架由一个叫Rod Johnson的程序员在2002年最早提出并随后创建，是为了解决企业级编程开发中的复杂性，业务逻辑层和其他各层的松耦合问题，因此它将面向接口的编程思想贯穿整个系统应用，实现敏捷开发的应用型框架。框架的主要优势之一就是其分层架构，分层架构允许使用者选择使用哪一个组件，同时为J2EE应用程序开发提供集成的框架。

2009年9月Spring 3.0 RC1发布后，Spring就引入了SpEL (Spring Expression Language)。类比Struts2框架，会发现绝大部分的安全漏洞都和OGNL脱不了干系。尤其是远程命令执行漏洞，这导致Struts2越来越不受待见。

因此，Spring引入SpEL必然增加安全风险。事实上，过去多个Spring CVE都与其相关，如CVE-2017-8039、CVE-2017-4971、CVE-2016-5007、CVE-2016-4977等。

SpEL是什么

SpEL(Spring Expression Language)是基于spring的一个表达式语言，类似于struts的OGNL，能够在运行时动态执行一些运算甚至一些指令，类似于Java的反射功能。就使用方法上来看，一共分为三类，分别是直接在注解中使用，在XML文件中使用和直接在代码块中使用。

SpEL原理如下∶