Princípio da vulnerabilidade:

Quando o servidor executa o SpEL, exec() retorna um objeto Process; ao tentar serializá-lo, o Spring lança uma exceção e a resposta é HTTP 500. O comando é executado de forma assíncrona em segundo plano, e o resultado não é refletido na resposta HTTP — é necessário confirmá-lo por canais laterais, como DNSLOG ou reverse shell.

Funcionalidades

• Detecção de vulnerabilidade: aciona uma resposta característica via SpEL para determinar se o alvo está vulnerável
• Verificação via DNSLOG: envia uma solicitação ping para o domínio DNSLOG e confirma a execução do comando por meio dos registros DNS
• Reverse shell: utiliza codificação base64 para contornar a restrição de espaços e envia um shell interativo de volta ao endereço especificado

Instalação

Python 3.6+, sem outras dependências.

Uso

Descrição dos parâmetros

Detecção da vulnerabilidade

Verificação via DNSLOG

Usado para confirmar que o comando foi realmente executado quando não há retorno visível:

Em seguida, verifique na plataforma DNSLOG se foi recebida uma consulta DNS a partir do IP do alvo.

Reverse shell

Inicie a escuta na máquina do atacante:

Envie o payload:

Observação: o reverse shell depende do suporte a /dev/tcp no sistema de destino, sendo aplicável apenas a ambientes Linux + bash. Não há suporte para alvos Windows nem para shells como sh/ash/dash.

Detalhes técnicos

Princípio de detecção

A solicitação de detecção envia uma expressão SpEL real para /functionRouter:

• Vulnerável: o SpEL é executado e o objeto Process não pode ser serializado → HTTP 500 + "path":"/functionRouter"
• Não vulnerável: o cabeçalho é ignorado e o roteamento da função falha → o código de resposta ou o corpo não corresponde às características acima

Fluxo de codificação do reverse shell

Runtime.exec(String) não passa pela interpretação do shell; ele tokeniza a string de comando diretamente por espaços e não consegue lidar com pipes e redirecionamentos. A ferramenta contorna essa limitação da seguinte forma:

1. Codifica o comando do reverse shell em base64, eliminando caracteres especiais
2. Usa bash brace expansion {cmd,arg} no lugar de espaços
3. Por fim, o parâmetro -c do bash do alvo processa os pipes e redirecionamentos

Histórico de atualizações

Isenção de responsabilidade

Esta ferramenta destina-se exclusivamente a pesquisa em segurança, testes de penetração autorizados e fins educacionais.

Ao utilizar esta ferramenta, você concorda que:

1. Ela será utilizada somente em sistemas alvo com autorização expressa por escrito
2. Todas as leis e regulamentos aplicáveis em sua região serão cumpridos
3. Você assume total responsabilidade por todas as consequências decorrentes do uso desta ferramenta

Os autores não assumem qualquer responsabilidade por usos não autorizados nem por suas consequências.