CVE-2022-22965 — Spring4Shell 安全运维分析

一个实操型安全运维中心（SOC）模拟项目，我在此担任信息安全分析师，响应一次正在进行的 Spring4Shell 漏洞利用尝试。本仓库记录了完整的应急响应生命周期——从最初检测到分析再到缓解。

免责声明： 本项目是作为 Forage 平台上网络安全岗位模拟的一部分，仅用于教育目的。所有分析均在受控的模拟环境中完成。

---

关于 CVE-2022-22965（Spring4Shell）

Spring4Shell 是 Spring 框架中的一个严重远程代码执行漏洞。攻击者可利用参数绑定机制未授权访问 Java 类的属性，从而导致完全远程代码执行。

• 严重程度： 高危（CVSS 9.8）
• 受影响版本： Spring Framework 5.3.0–5.3.17、5.2.0–5.2.19 及更早版本
• 攻击向量： 利用参数绑定的恶意 HTTP POST 请求

---

任务 1 — 事件分类与通知

目标： 分析防火墙日志以识别失陷的基础设施，评估威胁的严重程度，并通知相应团队。

防火墙日志分析

通过审查防火墙日志，发现一系列可疑的 HTTP/1.1 POST 请求，目标指向 /tomcatwar.jsp，均包含 class.module.classLoader 参数链——这是 Spring4Shell 漏洞利用的标志性特征。

调查结果

事件通知

确认威胁后，我起草并向 NBN 团队发送了事件通知，其中准确总结了情况、受影响系统以及需要立即采取的行动。

---

任务 2 — 威胁分析与缓解

目标： 对攻击模式进行更深入的分析，理解漏洞利用机制，并制定防火墙规则以遏制威胁。

攻击特征

通过分析防火墙日志中的 POST 请求结构：

• 请求方法： HTTP/1.1 POST
• 目标路径： /tomcatwar.jsp
• 恶意参数： class.module.classLoader.resources.context.parent.pipeline.first.pattern
• 技术手法： 利用参数绑定操作访问 Java ClassLoader，将 JSP Webshell 写入 Tomcat 的 webapps 目录，并建立持久的远程代码执行

建议的防火墙规则

采用多层方法在攻击的每个阶段进行阻断：

防火墙规则请求

在确定缓解策略后，我向网络团队传达了所需的防火墙规则，并附上了关于正在进行的攻击的完整技术背景。

---

关键失陷指标

• HTTP POST 数据中存在 class.module.classLoader 参数链
• 针对 /tomcatwar.jsp 的 POST 请求
• 尝试向 Tomcat 的 webapps 目录写入文件
• 篡改 pipeline.first.pattern 属性

---

展示的技能

• 防火墙日志分析与流量模式识别
• CVE 研究与概念验证分析
• 事件分类与优先级评估
• 与利益相关方的沟通（技术与非技术）
• 防火墙规则设计与纵深防御策略

---

模拟详情

• 作者： Shakur OuroGouni
• 角色： 信息安全分析师
• 平台： Forage
• 完成日期： 2026年1月14日