SpEL表达式注入、Spring JNDI注入

最新推荐文章于 2025-03-27 17:59:18 发布

cloudcsdn88

最新推荐文章于 2025-03-27 17:59:18 发布

阅读量996

点赞数

文章标签： java

本文链接：https://blog.youkuaiyun.com/cloudcsdn88/article/details/123852132

版权

本文详细介绍了Spring表达式语言（SpEL）的三种使用方法，并深入探讨了Java命名和目录接口（JNDI）的工作原理及安全性，包括如何通过RMI与Reference类进行JNDI注入攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一.
SpEL表达式:（Spring Expression Language），即Spring表达式语言，是比JSP的EL更强大的一种表达式语言。

SpEL有三种用法，一种是在注解@Value中；一种是XML配置；最后一种是在代码块中使用Expression。
1.
 @Value("#{表达式}")
    public String arg;
2.
<bean id="xxx" class="com.java.XXXXX.xx">
    <!-- 同@Value,#{}内是表达式的值，可放在property或constructor-arg内 -->
    <property name="arg" value="#{表达式}">
</bean>
3.
//创建ExpressionParser解析表达式
        ExpressionParser parser = new SpelExpressionParser();
        //表达式放置
        Expression exp = parser.parseExpression("表达式");
        //执行表达式，默认容器是spring本身的容器：ApplicationContext
        Object value = exp.getValue();

二.
Spring JNDI:

JNDI全称为 Java Naming and Directory Interface（Java命名和目录接口），是一组应用程序接口，为开发人员查找和访问各种资源提供了统一的通用接口，可以用来定义用户、网络、机器、对象和服务等各种资源。

JNDI支持的服务主要有：DNS、LDAP、CORBA、RMI等。

简单点说，JNDI就是一组API接口。每一个对象都有一组唯一的键值绑定，将名字和对象绑定，可以通过名字检索指定的对象，而该对象可能存储在RMI、LDAP、CORBA等等。

JNDI注入
前提条件&JDK防御
要想成功利用JNDI注入漏洞，重要的前提就是当前Java环境的JDK版本，而JNDI注入中不同的攻击向量和利用方式所被限制的版本号都有点不一样。

所有不同版本JDK的防御：

JDK 6u45、7u21之后：java.rmi.server.useCodebaseOnly的默认值被设置为true。当该值为true时，将禁用自动加载远程类文件，仅从CLASSPATH和当前JVM的java.rmi.server.codebase指定路径加载类文件。使用这个属性来防止客户端VM从其他Codebase地址上动态加载类，增加了RMI ClassLoader的安全性。
JDK 6u141、7u131、8u121之后：增加了com.sun.jndi.rmi.object.trustURLCodebase选项，默认为false，禁止RMI和CORBA协议使用远程codebase的选项，因此RMI和CORBA在以上的JDK版本上已经无法触发该漏洞，但依然可以通过指定URI为LDAP协议来进行JNDI注入攻击。
JDK 6u211、7u201、8u191之后：增加了com.sun.jndi.ldap.object.trustURLCodebase选项，默认为false，禁止LDAP协议使用远程codebase的选项，把LDAP协议的攻击途径也给禁了。

因此，在进行JNDI注入之前，必须知道当前环境JDK版本这一前提条件，只有JDK版本在可利用的范围内才满足我们进行JNDI注入的前提条件。

RMI攻击向量
RMI+Reference利用技巧
JNDI提供了一个Reference类来表示某个对象的引用，这个类中包含被引用对象的类信息和地址。

因为在JNDI中，对象传递要么是序列化方式存储（对象的拷贝，按值传递），要么是按照引用（对象的引用，按引用传递）来存储，当序列化不好用的时候，我们可以使用Reference将对象存储在JNDI系统中。

那么这个JNDI利用技巧——就是将恶意的Reference类绑定在RMI注册表中，其中恶意引用指向远程恶意的class文件，当攻击者可以控制JNDI客户端的lookup()参数，或Reference类构造方法的classFactoryLocation参数时，会使用户的JNDI客户端访问RMI注册表中绑定的恶意Reference类，从而，加载远程服务器上的恶意class文件，在客户端本地执行，最终实现JNDI注入攻击，导致远程代码执行。