Java

Confluence 的多个 .action 页面将用户输入的 queryString 参数直接嵌入 WebWork 标签属性渲染，OGNL 引擎对回显内容进行二次解析，攻击者通过单引号拼接绕过纯文本处理，注入 OGNL 表达式调用 Java ScriptEngine 执行任意命令，匿名用户即可触发。CVSS 9.8，影响 6.13.23 之前的全部版本及 7.4.11、7.11.6、7.12.5 之前的各分支。本文基于 Vulhub 靶场复现并逐层拆解 Payload。

Spring Framework 的参数绑定机制允许通过 class.module.classLoader 路径访问 JDK 9+ 新增的 Module 对象，绕过原有黑名单，篡改 Tomcat 的 AccessLogValve 日志配置，将访问日志写入 Web 目录并命名为 .jsp 文件，生成持久化 Webshell。CVSS 9.8，影响 Spring Framework < 5.3.18 / < 5.2.20 且运行于 JDK 9+ 与 Tomcat 的场景。本文基于 Vulhub 靶场复现并拆解利用链。

Spring Cloud Gateway 的 Actuator 端点未授权暴露时，攻击者可通过 POST 请求动态添加路由，在过滤器参数中嵌入恶意 SpEL 表达式，网关刷新配置时解析执行该表达式，实现未授权远程代码执行。CVSS 10.0，影响 Spring Cloud Gateway 3.1.x < 3.1.1、3.0.x < 3.0.7。本文基于 Vulhub 靶场复现并拆解利用链。

Log4j2 对日志消息中的 ${} 语法解析过于宽松，支持 JNDI 协议表达式且不限制远程类加载，攻击者通过任何会被记录的输入（URL 参数、请求头等）传入 ${jndi:ldap://...}，即可诱导服务器从远程加载恶意 Java 类执行。CVSS 10.0，影响 Log4j2 2.0-beta9 至 2.14.1，即社区所称 Log4Shell。本文基于 Vulhub 靶场复现并拆解利用链。

Struts2 标签库的 id 属性会对属性值进行二次 OGNL 解析，当属性值引用了攻击者可控的输入时，攻击者可构造恶意 OGNL 表达式绕过沙箱执行任意代码。CVSS 9.8，影响 Struts2 2.0.0-2.5.20。本文基于 Vulhub 靶场复现并拆解沙箱绕过与命令执行的利用链。