代码编织梦想

课少了,重新回来学一下框架漏洞,这次是直接上手代码,审了一下发现点还挺明显的

首先是这次学习的框架spring 

一.框架介绍

spring framework
     它是Java最流行的一个框架,基于Spring我们可以直接调用实现一些简单的业务逻辑即可使用,同时也包含了许多高级的功能,比如面向切面编程,也可以非常简单的和其他组件进行集成,比如说我们用Spring访问数据库Redis......它都已经提供了相应的接口。许多网站都在使用该框架


二.环境准备

所需:spring framework-5.3x

         apache-tomacate8.5.78-src

         apache-tomacate8.78

编辑器为IDEA

本地环境需要自己搭建并尝试运行,这里已经成功运行,过程就不再细说

 

 主要文件:AccessLogValve.java(日志处理类)

三.代码审计

 shell生成重点就是红框标出的这一部分,当该方法收到的日志时间与本地日志时间不同时,就会重写日志(每次tomcat启动时获取系统时间,运行时做判断,如果时间改变,也就是filedateformat改变就会重写文件内容

传入请看下面

根据我的poc,我是将pattern属性值设置成了我们的木马内容,在accesslogvelue调用setpattern的方法时,还将pattern值也封装到了logElements,最终进入到result中,也就是log(result)。

总结:该漏洞利用链较为明显,修复方式打补丁即可,也可通过waf设置规则过滤

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/ZxC789456302/article/details/127186616

Spring Rce 漏洞分析CVE-2022-22965-爱代码爱编程

0x01 漏洞介绍 Spring Framework 是一个开源的轻量级J2EE应用程序开发框架。 3月31日,VMware发布安全公告,修复了Spring Framework中的远程代码执行漏洞(CVE-2022-22965)。在 JDK 9 及以上版本环境下,可以利用此漏洞在未授权的情况下在目标系统上写入恶意程序从而远程执行任意代码。 0x02

Spring4Shell Spring CVE-2022-22965漏洞調査-爱代码爱编程

最近爆出Java的Spring框架有像Log4Shell那样的可远程执行代码漏洞。这是个非常危险的漏洞。攻击者可通过这个漏洞在服务器里执行任何命令和代码。常有发生的是利用被入侵的服务器挖矿。 下面这个是VMware的调查。说是如果利用的是SpringBoot的可执行jar的防止启动项目的情况不受影响。打成war包发布到tomcat上的情况才可能有这个漏洞

Spring Framework RCE(CVE-2022-22965)-爱代码爱编程

Spring Framework RCE(CVE-2022-22965) 利用环境 war包 https://github.com/fengguangbin/spring-rce-wardocker环境 https://github.com/lunasec-io/Spring4Shell-POChttps://github.com/vulh

Spring Framework RCE CVE-2022-22965漏洞学习-爱代码爱编程

一、概述 3月底Spring Framework爆出严重级别的安全漏洞,该漏洞允许黑客进行任意命令执行。在3月31日Spring Framework官方发布了5.3.18以及5.2.20修复了该漏洞,随后该漏洞编号为CVE-2022-22965,这个漏洞也是先发布修复版本,后分配CVE编号的。从官网可知该漏洞存在的条件: 使用JDK9及以上版本使用Ap

Spring [CVE-2022-22965]漏洞处理-爱代码爱编程

问题描述 近期spring官方公布了漏洞 - [CVE-2022-22965] 参考地址: https://tanzu.vmware.com/security/cve-2022-22965 参考issues提到的问题答案开发人员回应: 可能是由于Springframework 3.x 早于 JDK9发布,甚至发布时还未完整的支持JDK8。我们都知道新版

【Vulfocus漏洞复现】spring-core-rce-2022-03-29-爱代码爱编程

2022年3月30日,Spring框架曝出RCE 0day漏洞,国家信息安全漏洞共享平台(CNVD)已收录了Spring框架远程命令执行漏洞(CNVD-2022-23942),考虑到Spring框架的广泛应用,漏洞被评级为危险。 通过该漏洞可写入webshell以及命令执行。在Spring框架的JDK9版本(及以上版本)中,远程攻击者可在满足特定条件的基

[CVE-2022-22965]Spring远程代码执行漏洞复现-爱代码爱编程

漏洞概述(级别:高危) 续上一次Log4j2后,于2022年03月29日,Spring官方发布了Spring框架远程命令执行漏洞公告(CNVD-2022-23942、CVE-2022-22965) 攻击者可以通过构造恶意请求来利用这些漏洞,从而造成任意代码执行,未经身份验证的攻击者可以使用此漏洞进行远程任意代码执行,该漏洞广泛存在于Spring框架以及

【漏洞分析】 cve-2022-22965-spring漏洞(spring4shell)环境搭建及漏洞分析_至察助安的博客-爱代码爱编程

0x01 概述 上期【漏洞分析】 CVE-2022-22965-Spring漏洞(Spring4Shell)分析及修复方法讲述了发现防御Spring4Shell漏洞,由于某些原因未在文章放出poc。此次为大家详细讲解漏洞利用过程并公开POC脚本(知识星球免费领取),希望大家能帮忙分享,十分感谢。 0x02 搭建环境 环境信息,为了此次复现操碎了心,具

(一)模仿学习-引入项目启动_那山的狐狸的博客-爱代码爱编程

我们从网上下载一份代码学习,模拟如果在实际工作中,我们入职的时候会首先拿到一个不复杂但是技术比较老的项目,因为作为新人很难去直接参与大而且新的项目进行开发。 我们从网上搜一份代码,先下载下来,代码如下: 代码的地址: https://url56.ctfile.com/f/34653256-665303764-679728?p=7567 (访问密码:

java初级学习笔记(韩顺平1-263)__揽的博客-爱代码爱编程

JAVA学习笔记 JAVA概述 什么是 JDK,JRE  JDK 基本介绍 JDK 的全称(Java Development Kit Java 开发工具包) JDK = JRE + java 的开发工具 [ java, javac,javadoc,javap 等] JDK 是提供给 Java 开发人员使用的,其中包含了 java 的开

springboot漏洞(spring rce 0day)cve-爱代码爱编程

一·漏洞影响排查方法 (一).JDK版本号排查 在业务系统的运行服务器上,执行“java -version”命令查看运行的JDK版本,如果版本号小于等于8,则不受漏洞影响 (二).Spring框架使用情况排查 1.如