spring-exploitation

Files (1)

• SKILL.md

SKILL.md (first lines)

# Spring Framework漏洞深度利用技能

> **AI LOAD INSTRUCTION**: Spring 生态深度利用专家打法。按已知前提：Spring MVC 基础与 SpEL 语法。聚焦指纹→Actuator 深度利用→SpEL 全家族→Spring4Shell→Cloud 组件→内存马→Spring AI 攻击面的完整链路决策。

## 概述

Spring Framework是Java Web生态占有率最高的框架，其生态链（Spring Boot/Spring MVC/Spring Cloud/Spring Security/Spring Data/Spring AI）覆盖绝大多数企业级Java应用。本技能v3.0.0站在资深攻防专家视角，系统化覆盖**指纹识别→版本探测→Actuator信息泄露与深度利用→heapdump凭据挖掘→SpEL注入→数据绑定RCE→Spring Security绕过→内存马注入→Spring AI攻击面→配置注入→后渗透**完整攻击链，并融合2025-2026年最新漏洞情报（Spring AI RCE、Spring Framework 2026年6月批量CVE等）。

### 核心概念
- **数据绑定（Data Binding）**：Spring MVC将HTTP参数递归绑定到POJO属性，是Spring4Shell（CVE-2022-22965）与CVE-2010-1622的根因
- **SpEL（Spring Expression Language）**：`#{...}`模板表达式，默认使用`StandardEvaluationContext`（可调用任意类静态方法），是Spring家族RCE的"万金油"
- **StandardEvaluationContext vs SimpleEvaluationContext**：前者允许`T(Type)`类型表达式+方法调用（危险），后者仅允许简单属性访问（安全）。大量CVE修复手段就是把前者替换为后者（如CVE-2022-22963、CVE-2026-22738）
- **Actuator**：Spring Boot运维端点集合，未授权暴露=信息泄露甚至RCE入口
- **内存马**：运行时向JVM内存注入恶意Servlet/Filter/Interceptor，无文件落地、重启失效、绕WAF
- **配置注入**：通过Actuator env端点修改运行期配置，配合refresh触发重新加载

### 安全演进时间线矩阵（2016-2026）
| 阶段 | 时间 | 编号 | 组件 | 类型 |
|------|------|------|------|------|
| 早期SpEL | 2016 | CVE-2016-4977 | Security OAuth2 | SpEL注入 |
| 数据类SpEL | 2017-2018 | CVE-2017-8046 / CVE-2018-1270 / CVE-2018-1273 | Data REST / Messaging / Data Commons | SpEL注入 |
| 配置链 | 2019-2020 | CVE-2019-3799 / CVE-2020-5410 | Cloud Config | 路径遍历 |
| 日志风暴 | 2021 | CVE-2021-44228（Log4Shell） | Log4j2（Spring Boot默认日志） | JNDI注入 |
| Spring家族三连 | 2022 | CVE-2022-22947 / CVE-2022-22963 / CVE-2022-22965 | Gateway / Cloud Function / Core | SpEL RCE / SpEL RCE / 数据绑定RCE |
| 认证绕过潮 | 2022-2023 | CVE-2022-22978 / CVE-2022-31692 / CVE-2023-20860 / CVE-2023-34034 | Security / Framework | 绕过 / ReDoS |
| 收尾修补 | 2024 | CVE-2024-22243 / CVE-2024-22259 / CVE-2024-38819 | Framework | SSRF/开放重定向 / 绕过 |
| 注解绕过 | 2025 | CVE-2025-22223 / CVE-2025-22228 / CVE-2025-22235 / CVE-2025-41248 | Security | 方法注解绕过 / BCrypt截断 / /null匹配 / 泛型注解 |
| 静态资源链 | 2025 | CVE-2025-41242 / CVE-2025-41234 / CVE-2025-41254 | Framework | 路径遍历 / RFD / STOMP绕过 |
| Gateway再爆 | 2025 | CVE-2025-41243 | Cloud Gateway WebFlux | RCE |
| **AI框架爆发** | 2026 | **CVE-2026-22738** / CVE-2026-22729 / CVE-2026-22730 | Spring AI | **SpEL RCE（CVSS 9.8）** / JSONPath注入 / SQL注入 |
| AI内存泄露 | 2026 | CVE-2026-41705 / CVE-2026-41712 / CVE-2026-41713 | Spring AI | 表达式注入 / 跨用户泄露 / 提示注入 |
| Config高危 | 2026 | CVE-2026-40981 / CVE-2026-40982 / CVE-2026-41002 | Cloud Config | 目录遍历（CRITICAL）/ 秘密泄露 / TOCTOU |
| **Framework批量** | 2026 | CVE-2026-41838 ~ CVE-2026-41855（18个） | Framework 7.0.8/6.2.19 | 含SpEL任意方法调用、multipart走私、SSRF等 |
| MCP SSRF | 2026 | CVE-2026-45609 | Spring AI MCP security | SSRF |

> 情报提示：2026年6月Broadcom发布Spring历史上最大规模安全更新（23年来首次、单批次18个CVE），CVE报告量2026年3-4月环比暴涨1700%，主要驱动是AI辅助漏洞扫描。Spring Boot 3.5与Spring AI 1.x于2026-06-30 EOL，遗留系统将长期无补丁。

## 一、Spring指纹识别与版本探测

### 1.1 Spring Boot指纹

**特征路径探测：**
```
/favicon.ico                    # Spring Boot默认图标（绿叶）
/error                          # Whitelabel Error Page（Spring Boot特征）
/actuator                       # Actuator端点（Spring Boot 2.x）
/actuator/health                # 健康检查（默认开放）
/actuator/info                  # 应用信息（默认开放）
/swagger-ui.html                # Swagger UI（SpringFox）
/doc.html                       # Knife4j（国产Swagger增强）
/v2/api-docs                    # Swagger JSON API
/v3/api-docs                    # OpenAPI 3.0
/trace                          # HTTP Trace（Spring Boot 1.x）
/mappings                       # 路由映射（Spring Boot 1.x）
/env                            # 环境变量（Spring Boot 1.x）
```

**Response Header特征：**
```
X-Application-Context: application  # Spring Boot 1.x
Server: Apache Tomcat/9.0.x         # 内嵌Tomcat版本
X-Content-Type-Options: nosniff     # Spring Security默认
X-Frame-Options: DENY               # Spring Security默认
X-XSS-Protection: 1; mode=block     # Spring Security默认
```

**错误页面特征：**
```
Whitelabel Error Page               # Spring Boot默认错误页
There was an unexpected error (type=..., status=...)  # 标准错误格式
timestamp: ..., status: ..., error: ..., path: ...    # JSON错误格式
```

**Spring AI指纹（2026新增）：**
```
/v1/chat/completions           # Spring AI ChatClient API
/v1/embeddings                 # 向量化接口
/api/v1/chat                   # 自定义ChatController
/actuator/metrics/ai.*         # AI相关Actuator指标
```

### 1.2 Spring版本判断

| 特征 | Spring Boot 1.x | Spring Boot 2.x | Spring Boot 3.x | Spring Boot 4.x |
|------|----------------|----------------|----------------|----------------|
| Actuator前缀 | 无（/env, /health） | /actuator/* | /actuator/* | /actuator/* |
| 默认端口 | 8080 | 8080 | 8080 | 8080 |
| JDK要求 | 6/7/8 | 8+ | 17+ | 21+ |
| Jakarta EE | javax.* | javax.* | jakarta.* | jakarta.* |
| 版本基线 | EOL | EOL | 3.5已EOL(2026-06-30) | 当前主线 |

**通过Actuator确定版本：**
```
GET /actuator/info
→ build.version / build.artifact → 应用版本号

GET /actuator/env
→ spring.boot.version → Spring Boot版本
→ spring.core.version / Spring Core版本 → Spring Framework版本
```

**通过Whitelabel错误页/异常堆栈确定版本段：**
```
# 触发异常观察堆栈（部分应用不脱敏）
# org.springframework.boot → Boot 2.x；jakarta.* → Boot 3.x+
# Spring Security异常类：org.springframework.security.* → 存在Security
# Spring AI异常类：org.springframework.ai.* → 存在Spring AI（攻击面巨大）
```

### 1.3 目录扫描重点路径
```
# 常见Spring Boot路径
/api/**                         # REST API
/admin/**                       # 管理后台
/user/**                        # 用户模块
/auth/**                        # 认证模块
/system/**                      # 系统模块
/swagger-resources/**           # Swagger资源
/webjars/**                     # 静态资源

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC