Spring Boot、Shiro、SSTI框架漏洞实战：从原理到横向移动

最新推荐文章于 2026-07-01 10:13:24 发布

原创

最新推荐文章于 2026-07-01 10:13:24 发布 · 443 阅读

1. 项目概述：为什么我们要关注框架漏洞实战？

干了这么多年安全，我越来越觉得，搞渗透测试或者安全研究，最怕的就是“纸上谈兵”。你看网上那些漏洞分析文章，动不动就是“某框架存在XX漏洞，可导致远程代码执行”，原理讲得天花乱坠，POC（概念验证代码）也给得清清楚楚。但真让你自己上手，从信息收集到漏洞利用，再到最终拿到权限，中间隔着十万八千里。这就是“常见框架漏洞实战”这个主题的价值所在——它不跟你空谈理论，而是手把手带你走一遍真实环境下的攻击路径，把那些藏在“已知漏洞”背后的坑，一个个给你填平。

所谓“常见框架”，在当前的开发环境下，指的就是那些被广泛采用、几乎成为行业标准的基础软件。比如Java生态里的Spring Boot、Python里的Django/Flask、PHP里的Laravel/ThinkPHP，还有前端领域的React、Vue等等。这些框架之所以流行，是因为它们极大地提升了开发效率，提供了标准化的解决方案。但硬币的另一面是，一旦框架本身出现安全漏洞，影响范围将是灾难性的。攻击者不需要针对成千上万个定制化应用逐个研究，只需要掌握针对框架的通用攻击手法，就能批量横扫一片。这就像掌握了一把万能钥匙，能打开无数扇看似不同的门。

“实战”二字，是这篇文章的灵魂。我不会仅仅罗列CVE编号和漏洞描述，那毫无意义。我会结合我这些年遇到的真实案例、内部演练和红队评估的经验，带你还原攻击者的视角。你会看到，一个成功的攻击链是如何串联起来的：从最初如何判断目标使用了什么框架、什么版本，到如何寻找对应的历史漏洞，再到如何绕过常见的防护措施（比如WAF），最终实现漏洞利用。更重要的是，我会分享那些在真实对抗中才会遇到的“非技术性”问题，比如环境差异、依赖冲突、权限限制，以及如何调整POC以适应这些情况。

这篇文章适合谁？如果你是刚入行的安全工程师或渗透测试人员，想摆脱对自动化工具的依赖，建立手动漏洞挖掘和利用的思维；如果你是开发人员，想从攻击者的角度理解框架漏洞的危害，从而在编码时更好地规避风险；甚至如果你是运维人员，想了解如何快速排查和修复框架层面的安全隐患，那么接下来的内容，都会对你有所帮助。我们从一个最经典、也最“常见”的案例开始。

2. 实战案例拆解：Spring Boot Actuator未授权访问与信息泄露

Spring Boot几乎是现代Java微服务开发的代名词，而Actuator模块是其提供的一个用于监控和管理应用的核心组件。它暴露了一系列HTTP端点（endpoints），用于查看应用健康状态、指标、环境变量、日志甚至执行线程Dump。在开发阶段，这非常方便；但在生产环境，如果配置不当，这就是一个巨大的安全漏斗。

2.1 漏洞原理与风险定位

Actuator的端点默认路径是 /actuator 。在Spring Boot 1.x时代，很多端点（如 /env , /heapdump , /trace ）是默认直接暴露的。从2.x开始，出于安全考虑，默认只暴露了 /health 和 /info 。但问题往往出在开发者的配置上。

最常见的错误配置是在 application.properties 或 application.yml 中写下了这样一行：

management.endpoints.web.exposure.include=*

这行配置的意思是，通过Web暴露所有的Actuator端点。 * 这个通配符，在带来便利的同时，也把所有的敏感信息接口都打开了。另一种情况是，开发者为了调试方便，将包含敏感端点的配置文件直接打包到了生产环境的JAR包里。

这个漏洞的风险极高，因为它属于“未授权信息泄露”。攻击者不需要任何认证，就可以访问这些端点，从而获取到大量对后续攻击至关重要的信息：

/actuator/env ：泄露全部环境变量。这里几乎肯定包含数据库连接密码、Redis密码、第三方API密钥、加密密钥等最高机密。
/actuator/heapdump ：下载应用的堆转储文件。这是一个二进制文件，可以使用MAT、VisualVM等工具分析，从中可以提取出内存中的所有对象数据，包括会话、用户凭证、甚至是硬编码的密码。
/actuator/mappings ：展示所有Controller的请求映射。相当于拿到了整个应用的路由表，为后续的API漏洞扫描提供了蓝图。
/actuator/loggers ：可以动态修改日志级别。攻击者可以将关键组件的日志级别调整为DEBUG，从而在日志中打印出更详细的（可能是敏感的）运行信息。

注意：很多开发者认为内网应用无需担心此问题，这是严重的误区。攻击链的起点往往是突破边界的一台边缘服务器，然后通过它进行横向移动。内网中配置不当的Spring Boot应用，就是横向移动的绝佳跳板。

2.2 手工探测与利用流程实录

实战中，我们不会只盯着 /actuator 。由于版本和配置的差异，端点路径可能有多种变体。一个经验丰富的测试者，会进行系统性的探测。

第一步：信息收集与指纹识别 首先，我们需要确认目标是一个Spring Boot应用。常见线索包括：

HTTP响应头中的 X-Application-Context 。
默认的错误页面样式（Whitelabel Error Page）。
特定的静态资源路径，如 /favicon.ico 的图标是Spring的叶子。
使用目录扫描工具（如dirsearch、gobuster）或字典，探测常见路径，如 /actuator , /management , /admin , /metrics 等。

第二步：端点枚举与访问测试 确认是Spring Boot后，开始枚举Actuator端点。我通常会准备一个自定义的字典，包含各种可能的端点路径：

/actuator
/actuator/env
/actuator/heapdump
/actuator/mappings
/actuator/loggers
/actuator/health
/actuator/info
/actuator/metrics
/actuator/beans
/actuator/conditions
/actuator/configprops
/actuator/threaddump
/actuator/scheduledtasks
/actuator/caches
/actuator/httptrace

同时，也要尝试不带 /actuator 前缀的路径，因为老版本或自定义配置可能直接暴露在根路径下，如 /env , /dump 等。

使用浏览器或curl工具逐个访问。如果返回200状态码和JSON格式的数据，基本就可以确定存在未授权访问。

第三步：敏感信息提取与利用 假设我们访问 /actuator/env 成功，会得到一个庞大的JSON对象。我们需要像淘金一样从中寻找敏感信息。重点关注以下字段：