Spring高危漏洞来袭 影响面广泛，收下这份处置建议

奇安信提出以下处置建议：

1.漏洞影响排查方法

用户可参照以下方式来判断是否可能受此漏洞影响。

（1）排查JDK版本

在控制台窗口执行"java-version"，如果版本号小于等于8，则不受此漏洞影响。

（2）排查Spring框架使用情况

检查项目是否使用Spring基础框架，未使用则不受影响。可通过排查项目是否使用spring-beans核心依赖进行检查。

（3）排查项目部署方式

经过前两步排查后，排查项目是否使用Tomcat进行部署，目前利用主要针对Tomcat中间件，但其他中间件不排除后续被利用的可能。

（4）排查项目代码

项目中Web接口未使用JavaBean对象作为参数则不受此漏洞影响。

2.攻击排查

（1）流量排查：攻击者的数据包中可能存在”class.*”，“*.class.*”，“class.module.*”字样或对该字样进行URL编码的变种字样，同时这些字样对大小写不敏感。推荐使用奇安信网神网站应用安全云防护系统全流量或WAF设备进行检索排查。

（2）日志排查：查看tomcat的AccessLog中是否缺失最近日志记录，同时排查Tomcat相关web应用目录下是否存在可疑后门文件。

3.漏洞缓解措施

1.在应用中全局搜索@InitBinder注解，方法体中若调用dataBinder.setDisallowedFields，则在原来的黑名单中添加"class.*","Class.*", "*.class.*", "*.Class.*"。

【注：如果此代码片段使用较多，需要每个地方都追加。】 

2.若未发现，可通过@ControllerAdvice进行全局拦截，通过WebDataBinder中setDisallowedFields方法添加黑名单。参考代码：

importorg.springframework.web.bind.WebDataBinder;

importorg.springframework.web.bind.annotation.ControllerAdvice;

importorg.springframework.web.bind.annotation.InitBinder;

@ControllerAdvice

@Order(Ordered.LOWEST_PRECEDENCE)

public class BinderControllerAdvice {

    @InitBinder

    public voidsetAllowedFields(WebDataBinder dataBinder) {

         String[] denylist = newString[]{"class.*", "Class.*", "*.class.*","*.Class.*"};

        dataBinder.setDisallowedFields(denylist);

    }

}