Project Spring4Shell（CVE-2022-22965）拦截器

防火墙服务器处理程序 -

本项目是一个概念验证（POC）防火墙服务器，旨在检测并拦截利用 CVE-2022-22965 漏洞（通常称为 Spring4Shell）的攻击。该服务器检查传入的 HTTP 请求，并拦截任何匹配与此漏洞相关的已知恶意模式的请求。

概述

防火墙服务器处理程序是一个基于 Python 的简单 HTTP 服务器，使用 http.server 库构建。它监视传入的 HTTP POST 请求，查找与 Spring4Shell 漏洞相关的特定标头和负载模式。如果请求匹配这些模式，则会被拦截，并且服务器会返回 403 Forbidden 状态。

系统要求

Python 3.x

安装与使用

克隆仓库

git clone https://github.com/BlackBird63030/Block-Spring4Shell
cd Block-Spring4Shell

运行服务器
```
python frs.py
```
默认情况下，服务器将在 localhost 的 8000 端口运行。
测试防火墙规则
- 要测试，您可以使用 tnt.py 脚本，该脚本通过 5 次连接模拟攻击。

拦截规则

此 POC 使用两条主要规则来检测并拦截 CVE-2022-22965 漏洞的利用尝试：

规则 1：拦截负载模式
- 检测包含负载模式 class.module.classLoader.resources.context.parent.pipeline.first 的请求，该模式在 Spring4Shell 漏洞利用中用于注入恶意 Java 代码。
规则 2：拦截可疑标头
- 拦截具有 Spring4Shell 攻击负载特征的特定标头的请求：
  - suffix: %>//
  - C1: Runtime
  - C2: <%
  - DNT: 1
  - Content-Type: application/x-www-form-urlencoded

如果任一规则匹配，服务器将返回 403 Forbidden 状态并返回 JSON 消息： {"error": "Forbidden Access"}

如果没有条件满足，服务器将返回 200 OK 状态及： {"message": "Request received"}

代码结构

ServerHandler: 处理 HTTP 请求的主类。
- block_request(): 在请求被拦截时发送 403 响应。
- rule_1(): 检查负载中是否存在与 CVE-2022-22965 相关的模式。
- rule_2(): 检查已知属于 Spring4Shell 漏洞利用的特定标头。
- do_GET() 和 do_POST(): 处理传入的 GET 和 POST 请求，应用防火墙规则。

示例

要测试防火墙，请使用 tnt.py 脚本。它将对防火墙脚本发送 5 个 POST 请求。

python tnt.py

服务器将响应： {"error": "Forbidden Access"}

目的

此 POC 用于教育和测试目的，以演示一个基本的防火墙规则，该规则拦截针对 Spring4Shell 漏洞的特定攻击向量。它不能替代生产环境中的全面防火墙解决方案。

许可证

MIT 许可证

Block-Spring4Shell

最受欢迎