Spring Boot Vulnerability Exploit Check List

Сборник материалов по уязвимостям Spring Boot, методы эксплуатации и советы. Чек-лист для черного ящика.

Заявление

⚠️ Весь контент этого проекта предназначен только для исследований безопасности и авторизованного тестирования. Лица, ответственные за неправильное использование и злоупотребление этим проектом, не несут никакой ответственности.

Содержание

• Spring Boot Vulnerability Exploit Check List
  • 0: Маршруты и версии
    • 0x01: Знание маршрутов
    • 0x02: Знание версий
      • Зависимости между версиями компонентов:
      • Зависимости между версиями Spring Cloud и Spring Boot:
      • Суффиксы и значения номеров минорных версий Spring Cloud:
  • 1: Утечка информации
    • 0x01: Утечка адресов маршрутов и деталей вызова интерфейсов
    • 0x02: Маршруты, раскрытые из-за неправильной конфигурации
    • 0x03: Получение незамаскированного пароля (метод 1)
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Найти имя свойства, которое нужно получить
        • Шаг 2: Использовать jolokia для вызова соответствующего Mbean и получить незамаскированное значение
    • 0x04: Получение незамаскированного пароля (метод 2)
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Найти имя свойства, которое нужно получить
        • Шаг 2: Использовать nc для прослушивания HTTP-запросов
        • Шаг 3: Установить свойство eureka.client.serviceUrl.defaultZone
        • Шаг 4: Обновить конфигурацию
        • Шаг 5: Декодировать значение свойства
    • 0x05: Получение незамаскированного пароля (метод 3)
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Найти имя свойства, которое нужно получить
        • Шаг 2: Использовать nc для прослушивания HTTP-запросов
        • Шаг 3: Инициировать внешний HTTP-запрос
        • Шаг 4: Обновить конфигурацию
    • 0x06: Получение незамаскированного пароля (метод 4)
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Найти имя свойства, которое нужно получить
        • Шаг 2: Загрузить информацию о куче JVM
        • Шаг 3: Использовать MAT для получения незамаскированного пароля из кучи JVM
  • 2: Удалённое выполнение кода
    • 0x01: SpEL RCE через whitelabel error page
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Найти место с нормальной передачей параметров
        • Шаг 2: Выполнить SpEL-выражение
      • Принцип уязвимости:
      • Анализ уязвимости:
      • Среда уязвимости:
    • 0x02: SnakeYAML RCE в Spring Cloud
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Разместить yml и jar файлы
        • Шаг 2: Установить свойство spring.cloud.bootstrap.location
        • Шаг 3: Обновить конфигурацию
      • Принцип уязвимости:
      • Анализ уязвимости:
      • Среда уязвимости:
    • 0x03: XStream десериализация RCE в eureka
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Запустить веб-сайт, отвечающий вредоносным XStream payload
        • Шаг 2: Прослушивать порт для реверс-шелла
        • Шаг 3: Установить свойство eureka.client.serviceUrl.defaultZone
        • Шаг 4: Обновить конфигурацию
      • Принцип уязвимости:
      • Анализ уязвимости:
      • Среда уязвимости:
    • 0x04: Logback JNDI RCE через jolokia
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Просмотреть существующие MBeans
        • Шаг 2: Разместить xml файл
        • Шаг 3: Подготовить Java-код для выполнения
        • Шаг 4: Запустить вредоносный ldap-сервер
        • Шаг 5: Прослушивать порт для реверс-шелла
        • Шаг 6: Загрузить файл конфигурации логирования из внешнего URL
      • Принцип уязвимости:
      • Анализ уязвимости:
      • Среда уязвимости:
    • 0x05: Realm JNDI RCE через jolokia
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Просмотреть существующие MBeans
        • Шаг 2: Подготовить Java-код для выполнения
        • Шаг 3: Разместить class файл
        • Шаг 4: Запустить вредоносный rmi-сервер
        • Шаг 5: Прослушивать порт для реверс-шелла
        • Шаг 6: Отправить вредоносный payload
      • Принцип уязвимости:
      • Анализ уязвимости:
      • Среда уязвимости:
    • 0x06: RCE через restart H2 Database Query
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Установить свойство spring.datasource.hikari.connection-test-query
        • Шаг 2: Перезапустить приложение
      • Принцип уязвимости:
      • Анализ уязвимости:
      • Среда уязвимости:
    • 0x07: JNDI RCE через H2 Database Console
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Получить jsessionid при обращении к маршруту
        • Шаг 2: Подготовить Java-код для выполнения
        • Шаг 3: Разместить class файл
        • Шаг 4: Запустить вредоносный ldap-сервер
        • Шаг 5: Прослушивать порт для реверс-шелла
        • Шаг 6: Отправить запрос для инициирования JNDI-инъекции
      • Анализ уязвимости:
      • Среда уязвимости:
    • 0x08: MySQL JDBC десериализация RCE
      • Условия эксплуатации:
      • Метод эксплуатации:
        • Шаг 1: Проверить зависимости окружения
        • Шаг 2: Запустить вредоносный rogue mysql server
        • Шаг 3: Установить свойство spring.datasource.url
        • Шаг 4: Обновить конфигурацию