【漏洞分析】jdk9+Spring 及其衍生框架

最新推荐文章于 2024-06-05 10:36:57 发布

原创

最新推荐文章于 2024-06-05 10:36:57 发布 · 379 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#spring #java #后端

本文详细分析了一个影响 JDK9+ 和 Spring 及其衍生框架的安全漏洞，涉及利用条件、漏洞原理及修复方法。利用条件包括特定版本的 Spring Framework，通过 API Introspector 获取 POJO 的敏感属性。漏洞分析揭示了如何通过模块化系统绕过黑名单，操纵 classloader。修复方式是更新至 Spring 的最新补丁版本。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一. 漏洞利用条件

jdk9+

Spring 及其衍生框架

使用 tomcat 部署 spring 项目

使用了 POJO 参数绑定

Spring Framework 5.3.X < 5.3.18 、2.X < 5.2.20 或者其他版本

二. 漏洞分析

通过 API Introspector. getBeanInfo 可以获取到 POJO 的基类 Object.class 的属性 class,进一步可以获取到 Class.class 的其他属性，其中就包括了 classloader，再利用获取到的属性构造利用链，这次爆出来的漏洞既然是绕过，那么原理应该也差不多，首先先搭建环境，构造一个简单的 POJO：

public class User {

private String name;

public String getName() {

return name;

}

public void setName(String name) {

this.name = name;

}

}

复制代码

再写个简单的 controller：

@RequestMapping("/test")

public String test(User user){

System.out.println(user.getName());

return "hello spring-mvc";

}

复制代码

发送 get 请求：http://localhost:8080/test?name=test 即可完成一次简单的数据绑定。

在开始调试分析之前，首先需要对 spring 的数据绑定体系机构有个简单的了解，其中涉及到一个关键类 org.springframework.validation.DataBinder 类，DataBinder 类实现了 TypeConverter 和 PropertyEditorRegistry 接口，作用主要是把字符串形式的参数转换成服务端真正需要的类型的转换，同时还有校验功能，其中有如下这些属性：


@Nullable

private final Object target;//需要数据绑定的对象

private final String objectName;//给对象起得名字默认target

@Nullable

private AbstractPropertyBindingResult bindingResult;//数据绑定后的结果

@Nullable

private SimpleTypeConverter typeConverter;//当target!=null时不会用到

private boolean ignoreUnknownFields = true;//忽略target不存在的属性，作用于PropertyAccessor的setPropertyValues()方法

private boolean ignoreInvalidFields = false;//忽略target不能访问的属性

private boolean autoGrowNestedPaths = true;//当嵌套属性为空时，是否可以实例化该属性

private int autoGrowCollectionLimit = DEFAULT_AUTO_GROW_COLLECTION_LIMIT;//对于集合类型容量的最大值

@Nullable

private String[] allowedFields;//允许数据绑定的资源

@Nullable

private String[] disallowedFields;//不允许的

@Nullable

private String[] requiredFields;//数据绑定必须存在的字段

@Nullable

private ConversionService conversionService;//为getPropertyAccessor().setConversionService(conversionService);

@Nullable

private MessageCodesResolver messageCodesResolver;//同bindingResult的

private BindingErrorProcessor bindingErrorProcessor = new DefaultBindingErrorProcessor();

private final List<Validator> validators = new ArrayList<>();//自定义数据校验器

复制代码

其中 bindingResult 是 BeanPropertyBindingResult 的实例，内部会持有一个 BeanWrapperImpl。

bind()是数据绑定对象的核心方法：将给定的属性值绑定到此绑定程序的目标，源码如下：