Sandbox-Challenge-Spring4Shell-CVE-2022-22965-

逐步指导如何使用 Metasploit 利用 CVE-2022-22965 (Spring4Shell)、部署 C2 监听器，并通过将 Tomcat 服务器降级至 Java 8 来缓解该漏洞。

凭证： playerone / password123

红队目标：在 Red Target 上部署 C2 监听器

步骤 1 — 识别目标

查看挑战面板中的网络映射标签页，确认 Red Target IP (172.16.100.90)。使用 curl 检查在端口 80 上运行的 Web 应用程序：

输出显示 Apache Tomcat 9.0.59，并重定向至 /dasmsp。浏览页面源代码，发现一个 POST 表单端点 /dasmsp/contact。

步骤 2 — 启动 Metasploit 并配置漏洞利用

漏洞利用成功生成了一个 JSP shell，修改了类加载器，清除了日志文件，并在 Red Target 上打开了命令 shell 会话。

步骤 3 — 获取交互式 Shell

会话打开后，输入 shell 升级为交互式 Shell。Metasploit 在目标上定位了 /usr/bin/script，并利用它弹出了一个以 tomcat 用户身份运行的交互式 Shell。

步骤 4 — 传输并执行 deploy_c2

deploy_c2 二进制文件位于 Security-Desk 而非 Red Target 上。在 Security-Desk 上通过 Python3 HTTP 服务器托管它：

在 Red Target 的 shell 会话中下载并执行：

输出确认：Done! — C2 监听器已成功部署在 Red Target 上。

蓝队目标：缓解 Blue Target 上的 CVE-2022-22965（降级至 Java 8）

步骤 1 — SSH 登录 Blue Target

在 Security-Desk 终端中：

密码：password123

步骤 2 — 将 Java 8 软件包传输至 Blue Target

Java 8 的 .deb 软件包位于 Security-Desk 的 /home/playerone/Desktop/Resources/ 目录下。通过 Security-Desk 终端使用 SCP 将其传输到 Blue Target：

传输的软件包：

• adoptium-ca-certificates_1.0.2-1_all.deb
• fonts-dejavu_2.37-6_all.deb
• p11-kit-modules_0.24.1-2_amd64.deb
• p11-kit_0.24.1-2_amd64.deb
• temurin-8-jdk_8.0.402.0.0+6_amd64.deb

步骤 3 — 安装 Java 8 软件包

在 Blue Target 的 SSH 会话中：

步骤 4 — 将 Java 8 设为默认版本（已知问题解决方法）

由于挑战中的一个已知问题，若不手动将 Java 8 设为默认版本，检查项无法正确注册：

选择选项 2 — /usr/lib/jvm/temurin-8-jdk-amd64/bin/java。

步骤 5 — 更新 Tomcat 服务以使用 Java 8

检查 Tomcat 服务单元文件：

编辑文件以更新 JAVA_HOME 环境变量：

将：

改为：

步骤 6 — 重新加载并重启 Tomcat

挑战面板中 "CVE-2022-22965 Mitigated on Blue Target" 检查项变为绿色。

使用工具

• Metasploit Framework（spring_framework_rce_spring4shell 模块）
• curl
• Python3 HTTP Server
• SSH / SCP
• dpkg
• systemctl
• update-alternatives
• nano