注入漏洞

Confluence 的多个 .action 页面将用户输入的 queryString 参数直接嵌入 WebWork 标签属性渲染，OGNL 引擎对回显内容进行二次解析，攻击者通过单引号拼接绕过纯文本处理，注入 OGNL 表达式调用 Java ScriptEngine 执行任意命令，匿名用户即可触发。CVSS 9.8，影响 6.13.23 之前的全部版本及 7.4.11、7.11.6、7.12.5 之前的各分支。本文基于 Vulhub 靶场复现并逐层拆解 Payload。

GitLab 处理用户上传图片时调用 ExifTool 解析元数据，ExifTool 的 DjVu 解析模块存在 Perl 代码注入，攻击者上传伪装成 JPEG 的恶意 DjVu 文件即可在服务器上执行任意命令；上传接口无需登录，仅需登录页公开的 CSRF 令牌。CVSS 10.0，影响 GitLab 11.9 起至 13.8.8、13.9.6、13.10.3 之前的版本。本文基于 Vulhub 靶场复现并拆解注入原理。

Spring Framework 的参数绑定机制允许通过 class.module.classLoader 路径访问 JDK 9+ 新增的 Module 对象，绕过原有黑名单，篡改 Tomcat 的 AccessLogValve 日志配置，将访问日志写入 Web 目录并命名为 .jsp 文件，生成持久化 Webshell。CVSS 9.8，影响 Spring Framework < 5.3.18 / < 5.2.20 且运行于 JDK 9+ 与 Tomcat 的场景。本文基于 Vulhub 靶场复现并拆解利用链。

Spring Cloud Gateway 的 Actuator 端点未授权暴露时，攻击者可通过 POST 请求动态添加路由，在过滤器参数中嵌入恶意 SpEL 表达式，网关刷新配置时解析执行该表达式，实现未授权远程代码执行。CVSS 10.0，影响 Spring Cloud Gateway 3.1.x < 3.1.1、3.0.x < 3.0.7。本文基于 Vulhub 靶场复现并拆解利用链。

Struts2 标签库的 id 属性会对属性值进行二次 OGNL 解析，当属性值引用了攻击者可控的输入时，攻击者可构造恶意 OGNL 表达式绕过沙箱执行任意代码。CVSS 9.8，影响 Struts2 2.0.0-2.5.20。本文基于 Vulhub 靶场复现并拆解沙箱绕过与命令执行的利用链。