Spring反序列化漏洞分析以及利用

ssp是一个一个用于探测和利用Spring框架中常见漏洞的工具，使用Go语言开发。本项目的POC来自开源项目AabyssZG/SpringBoot-Scan和互联网收集。本项目信息泄露端点取自https://blog.zgsec.cn/archives/129.html该工具支持探测和利用多个Spring框架版本的漏洞，包括：2023 JeeSpringCloud任意文件上传漏洞CVE-2022-22947 Spring Cloud Gateway SpELRCE漏洞。

Spring框架的反序列化远程代码执行漏洞分析星期三, 一月 27, 20160漏洞介绍国外的研究人员zero thoughts发现了一个Spring框架的反序列化远程代码执行漏洞。spring-tx.jar包中的org.springframework.transaction.jta.JtaTransactionManager类存在JNDI反序列化问题。只要创建一个JtaTransactionMa...

开源工具 SpringBoot-Scan 的GUI图形化版本

项目是根据LandGrey/SpringBootVulExploit清单编写，目的hvv期间快速利用漏洞、降低漏洞利用门槛。

调用相应的反序列化函数对数据流进行反序列化操作。，如果不满足则直接抛出异常。若pojo为Map实例，则从pojo（也就是一开始的第三个参数）获取key为“class”的值，并通过反射得到class所对应的类type，再判断对象的类型进行下一步处理。在之前的分析中我们知道了这个方法是用来获取数据体中的一些信息用的，其中一种利用方式就是通过在读取version的时候，调用readUTF方法，跟进。主要是通过获取tag位，进行相应的处理，但是这里关键的就是，当这里不是一个String类型的时候，将会抛出异常。

反序列化漏洞深入分析

Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。该产品主要提供了两个接口，JSON.toJSONString和JSON.parseObject/JSON.parse分别实现序列化和反序列化。

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

问题描述： 2023年10月 Spring官方披露 CVE-2023-34050 Spring AMQP反序列化漏洞漏洞。由于 SimpleMessageConverter 或 SerializerMessageConverter 默认未配置白名单，导致可以反序列化任意类。新版本中在未配置白名单的情况下则不允许反序列化任意类。 解决的建议： 1.spring-amqp版本低于2.4.17的用户应升级到2.4.17 2.spring-amqp是3.0.0至3.0.9版本的用户应升级至3.0.10

Spring-Beans RCE反序列化漏洞原理与复现

工具目前支持Spring Cloud Gateway RCE(CVE-2022-22947)、Spring Cloud Function SpEL RCE (CVE-2022-22963)、Spring Framework RCE (CVE-2022-22965) 的检测以及利用，目前仅为第一个版本，后续会添加更多漏洞POC，以及更多的持久化利用方式。Spring Cloud Gateway RCE(CVE-2022-22947) 目前支持命令执行、一键反弹shell、哥斯拉内存马注入。

漏洞利用流程如下： 利用详情参考： https://www.freebuf.com/news/others/234266.html

理解这个漏洞需要先看freebuff上的jdni的小例子。 jndi注入在jdk8u121绕过参考这俩篇文章： https://bl4ck.in/tricks/2019/01/04/JNDI-Injection-Bypass.html https://www.veracode.com/blog/research/exploiting-jndi-injections-java server...

Spring是Java EE编程领域的一个轻量级开源框架,而spring boot是基于Sping优化而来的全新java框架 在日常的项目中经常会遇到使用Spring Boot框架的网站，博主对该框架的常见利用方式进行了整理。此文中的漏洞环境均在本地搭建。 本文聚焦于在黑盒角度中如何发现漏洞、利用漏洞。