Spring Boot 中关于 %2e 的坑，希望你不要遇到

野性酷女 2022-09-03 01:26 107阅读 0赞

**作者 | Ruilin**

**来源 | http://rui0.cn/archives/1643**

**![3c5125b96df7ac4f3b7909931aa8c982.png][]**

分享一个Spring Boot中关于%2e的小Trick。

先说结论，当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，`alwaysUseFullPath`为默认值false，这会使得其获取ServletPath，所以在路由匹配时相当于会进行路径标准化包括对`%2e`解码以及处理跨目录，这可能导致身份验证绕过。

而反过来由于高版本将`alwaysUseFullPath`自动配置成了true从而开启全路径，又可能导致一些安全问题。

这里我们来通过一个例子看一下这个Trick，并分析它的原因。

首先我们先来设置Sprin Boot版本

<parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.3.0.RELEASE</version>
        <relativePath/> 
    </parent>

编写一个Controller

@RestController
    public class httpbinController {
        @RequestMapping(value = "no-auth", method = RequestMethod.GET)
        public String noAuth() {
            return "no-auth";
        }
     
        @RequestMapping(value = "auth", method = RequestMethod.GET)
        public String auth() {
            return "auth";
        }
    }

接下来配置对应的Interceptor来实现对除no-auth以外的路由的拦截

@Configuration
    public class WebMvcConfig implements WebMvcConfigurer {
        @Override
        public void addInterceptors(InterceptorRegistry registry) {
            registry.addInterceptor(handlerInterceptor())
                    //配置拦截规则
                    .addPathPatterns("/**");
        }
     
        @Bean
        public HandlerInterceptor handlerInterceptor() {
            return new PermissionInterceptor();
        }
    }
    
    @Component
    public class PermissionInterceptor implements HandlerInterceptor {
        @Override
        public boolean preHandle(HttpServletRequest request,
                                 HttpServletResponse response,
                                 Object handler) throws Exception {
            String uri = request.getRequestURI();
            uri = uri.replaceAll("//", "/");
            System.out.println("RequestURI: "+uri);
            if (uri.contains("..") || uri.contains("./") ) {
                return false;
            }
            if (uri.startsWith("/no-auth")){
                return true;
            }
            return false;
        }
    }

由上面代码可以知道它使用了getRequestURI来进行路由判断。通常你可以看到如`startsWith`，`contains` 这样的判断方式，显然这是不安全的，我们绕过方式由很多比如`..`或`..;`等，但其实在用`startsWith`来判断白名单时构造都离不开跨目录的符号`..` 那么像上述代码这种情况又如何来绕过呢?答案就是`%2e`发起请求如下

$ curl -v "http://127.0.0.1:8080/no-auth/%2e%2e/auth"
    *   Trying 127.0.0.1...
    * TCP_NODELAY set
    * Connected to 127.0.0.1 (127.0.0.1) port 8080 (#0)
    > GET /no-auth/%2e%2e/auth HTTP/1.1
    > Host: 127.0.0.1:8080
    > User-Agent: curl/7.64.1
    > Accept: */*
    >
    < HTTP/1.1 200
    < Content-Type: text/plain;charset=UTF-8
    < Content-Length: 4
    < Date: Wed, 14 Apr 2021 13:22:03 GMT
    <
    * Connection #0 to host 127.0.0.1 left intact
    auth
    * Closing connection 0

RequestURI输出为

RequestURI: /no-auth/%2e%2e/auth

可以看到我们通过`%2e%2e`绕过了PermissionInterceptor的判断，同时匹配路由成功，很显然应用在进行路由匹配时会进行路径标准化包括对`%2e`解码以及处理跨目录即如果存在`/../`则返回上一级目录。

我们再来切换Spring Boot版本再来看下

<version>2.3.1.RELEASE</version>

发起请求，当然也是过了拦截，但没有匹配路由成功，返回404

$ curl -v "http://127.0.0.1:8080/no-auth/%2e%2e/auth"
    *   Trying 127.0.0.1...
    * TCP_NODELAY set
    * Connected to 127.0.0.1 (127.0.0.1) port 8080 (#0)
    > GET /no-auth/%2e%2e/auth HTTP/1.1
    > Host: 127.0.0.1:8080
    > User-Agent: curl/7.64.1
    > Accept: */*
    >
    < HTTP/1.1 404
    < Vary: Origin
    < Vary: Access-Control-Request-Method
    < Vary: Access-Control-Request-Headers
    < Content-Length: 0
    < Date: Wed, 14 Apr 2021 13:17:26 GMT
    <
    * Connection #0 to host 127.0.0.1 left intact
    * Closing connection 0

RequestURI输出为

RequestURI: /no-auth/%2e%2e/auth

可以得出结论当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，其在路由匹配时会进行路径标准化包括对`%2e`解码以及处理跨目录，这可能导致身份验证绕过。那么又为什么会这样？

在SpringMVC进行路由匹配时会从DispatcherServlet开始，然后到HandlerMapping中去获取Handler，在这个时候就会进行对应path的匹配。

我们来跟进代码看这个关键的地方`org.springframework.web.util.UrlPathHelper#getLookupPathForRequest(javax.servlet.http.HttpServletRequest)` 这里就出现有趣的现象，在2.3.0.RELEASE中`alwaysUseFullPath`为默认值false

![ec9275710dfe3c28905f17d23c6bf6dc.png][]

img

而在2.3.1.RELEASE中`alwaysUseFullPath`被设置成了true

![e3b9c378cae7cc03348970f32bd06239.png][]

img

这也就导致了不同的结果，一个走向了`getPathWithinApplication`而另一个走向了`getPathWithinServletMapping` 在`getPathWithinServletMapping` 中会获取ServletPath，ServletPath会对uri标准化包括先解码然后处理跨目录等，这个很多讲Tomcat uri差异的文章都提过了，就不多说了。而`getPathWithinApplication`中主要是先获取RequestURI然后解码但之后没有再次处理跨目录，所以保留了`..`因此无法准确匹配到路由。到这里我们可以看到这两者的不同，也解释了最终出现绕过情况的原因。

那么Trick的具体描述就成了当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，`alwaysUseFullPath`为默认值false，这会使得其获取ServletPath，所以在路由匹配时相当于会进行路径标准化包括对`%2e`解码以及处理跨目录，这可能导致身份验证绕过。

而这和Shiro的CVE-2020-17523中的一个姿势形成了呼应，只要高版本Spring Boot就可以了不用非要手动设置`alwaysUseFullPath`

$ curl -v http://127.0.0.1:8080/admin/%2e
    *   Trying 127.0.0.1...
    * TCP_NODELAY set
    * Connected to 127.0.0.1 (127.0.0.1) port 8080 (#0)
    > GET /admin/%2e HTTP/1.1
    > Host: 127.0.0.1:8080
    > User-Agent: curl/7.64.1
    > Accept: */*
    >
    < HTTP/1.1 200
    < Content-Type: text/plain;charset=UTF-8
    < Content-Length: 10
    < Date: Wed, 14 Apr 2021 13:48:33 GMT
    <
    * Connection #0 to host 127.0.0.1 left intact
    admin page* Closing connection 0

因为混合使用Spring Framework依赖时用户需要明确配置而Spring Boot会自动配置Spring Framework，所以在使用Spring Boot的时候官方提供了shiro-spring-boot-web-starter依赖来支持UrlPathHelper（https://shiro.apache.org/spring-boot.html）这样可以解决这类问题，上面这种姿势也就不存在了。对于非Spring Boot应用你可以通过这种方式（https://shiro.apache.org/spring-framework.html\#web-applications）来配置UrlPathHelper。感兴趣的可以再看看说不定有额外收获。

话说回来，可是为什么在高版本中`alwaysUseFullPath`会被设置成true呢？这就要追溯到`org.springframework.boot.autoconfigure.web.servlet.WebMvcAutoConfiguration.WebMvcAutoConfigurationAdapter#configurePathMatch` 在spring-boot-autoconfigure-2.3.0.RELEASE中

![b3a15538b687fda78a3eaeec4559efa0.png][]

在spring-boot-autoconfigure-2.3.1.RELEASE中

![e99c76bd74db963b5de05a5e3fc2c67e.png][]

为什么要这样设置？我们查看git log这里给出了答案。

![18a332b1125b058854d20b35ba315a7b.png][]

**https://github.com/spring-projects/spring-boot/commit/a12a3054c9c5dded034ee72faac20e578b5503af**

当Servlet映射为”/”时，官方认为这样配置是更有效率的，因为需要请求路径的处理较少。

配置servlet.path可以通过如下，但通常不会这样配置除非有特殊需求。

spring.mvc.servlet.path=/test/

所以最后，当Spring Boot版本在小于等于2.3.0.RELEASE的情况下，`alwaysUseFullPath`为默认值false，这会使得其获取ServletPath，所以在路由匹配时相当于会进行路径标准化包括对`%2e`解码以及处理跨目录，这可能导致身份验证绕过。而高版本为了提高效率对`alwaysUseFullPath`自动配置成了true从而开启全路径，这又造就了Shiro的CVE-2020-17523中在配置不当情况下的一个利用姿势，如果代码中没有提供对此类参数的判断支持，那么就可能会存在安全隐患。其根本原因是Spring Boot自动配置的内容发生了变化。

往期推荐

[面试官：作为架构师，请你谈谈Saas 应用如何搭建？][Saas]

[SpringBoot中微服务技术中进程间通信原理][SpringBoot]

[Spring Boot 接入支付宝支付案例教程！][Spring Boot]

[Spring Boot 中的Http接口调用只知道 RestTemplate？来试下 Retrofit ！][Spring Boot _Http_ RestTemplate_ Retrofit]

[Java中关于线程同步，你会用到的4个类][Java_4]

[数据库消耗 CPU 最高的 sql 语句如何定位？][CPU _ sql]

[怎么样通过Nginx实现限流？][Nginx]

[5个好用的开源网络监控工具][5]

[SpringBoot实现登录拦截的原理][SpringBoot 1]

[keepalived实现Nginx双机热备][keepalived_Nginx]

[一行代码让你摆脱U盘完成局域网文件传输][U]

[Docker简易搭建 ElasticSearch 集群][Docker_ ElasticSearch]

![260874e6bf76aaeddf76c8d746a0ac1a.png][]

[3c5125b96df7ac4f3b7909931aa8c982.png]: /images/20220829/66974582c6d241a989e54321299aac39.png
[ec9275710dfe3c28905f17d23c6bf6dc.png]: /images/20220829/d0eb6ab4590d4ca2b55899b7f32d93eb.png
[e3b9c378cae7cc03348970f32bd06239.png]: /images/20220829/f6ee6799b28d4d2cbdd07753b98409c0.png
[b3a15538b687fda78a3eaeec4559efa0.png]: /images/20220829/a75b869c4810491cabbf8442b88b06cc.png
[e99c76bd74db963b5de05a5e3fc2c67e.png]: /images/20220829/637ea9c50c7643aa8017b5f5eba5b841.png
[18a332b1125b058854d20b35ba315a7b.png]: /images/20220829/42f82470de894423b4899ee830b565e3.png
[Saas]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44ef92cb3366842297810236517eed2ab798ffd87f32132c4521a1422f2d35a5233b3ae02e&idx=1&mid=2247490219&scene=21&sn=caabe1d69e5751261983c0ab2303e5b1#wechat_redirect
[SpringBoot]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44ef93cb336685cae81619734fde08143e8312f2a773b450f6ff17df078e92e50806c3ca3a&idx=1&mid=2247490218&scene=21&sn=f877371be80449bfb52215741d57f877#wechat_redirect
[Spring Boot]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44ef93cb33668564c78b536b6d8b4107cfbca43b3a855d6ea68e8af2364e85e80cd4496196&idx=2&mid=2247490218&scene=21&sn=fef650ac2d0b908889ba276662c4ac7f#wechat_redirect
[Spring Boot _Http_ RestTemplate_ Retrofit]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44efa7cb3366b1e14cf83f95b1a0fae1761217685867b70b0c35bb628735282a8d33dbf828&idx=1&mid=2247490206&scene=21&sn=47743c0327aa8f2c96f4b89a7ecb96c1#wechat_redirect
[Java_4]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44efa7cb3366b1174a5cf6287d2ae149e79e9517eb5773504eb0264c0a52bcf400e58fce66&idx=2&mid=2247490206&scene=21&sn=4db6f314b90cd29417c4d092eda816e7#wechat_redirect
[CPU _ sql]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44efaecb3366b81ed2f753608b1a1d36191643e727b5662228139dc1da831261e182b7d1b7&idx=2&mid=2247490199&scene=21&sn=ffd2237ecc6ea306cf8fa0d6d21b1ed0#wechat_redirect
[Nginx]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44efb6cb3366a0196d6a8a15935598596fe1429286e9ebe402a76cfdfd8e9ee7c7afd0479b&idx=1&mid=2247490191&scene=21&sn=cf9e2c7e787ff649fabc73a099ba867d#wechat_redirect
[5]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44efb6cb3366a03f989ee57eaca66fe09eba65954926469554efcadb264e3b5a36f49d49a8&idx=2&mid=2247490191&scene=21&sn=d93b68eef5d14609210368f05fe35da9#wechat_redirect
[SpringBoot 1]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44efb8cb3366ae130246b08e6bc6cccb847f641fed9afd7dfc9907240161c628865a7b0f42&idx=1&mid=2247490177&scene=21&sn=3ee25fb0bd5964d7fec8384c4426f11c#wechat_redirect
[keepalived_Nginx]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44ef4ecb336658cadbc79d1a7d08db1c523e4badc04fd6c04cb4e8a0d33206a436581f01bc&idx=1&mid=2247490167&scene=21&sn=6e45804ba5db31a876ad0477dba33ab3#wechat_redirect
[U]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44ef4ecb336658f827b4e492f2d4d3db4cc2ea6d936ac2e93e0e61dfc7362c576f37a17af4&idx=2&mid=2247490167&scene=21&sn=ce298a0d23b75c736d8780d50afc926d#wechat_redirect
[Docker_ ElasticSearch]: http://mp.weixin.qq.com/s?__biz=MzU2NDc4MjE2Ng%3D%3D&chksm=fc44ef4fcb3366596390e361b10db1b6616d405df719cb3b259805629d75601ba03475212cd6&idx=1&mid=2247490166&scene=21&sn=5eb8eed5d0a6cd5c59d00aae41ad0039#wechat_redirect
[260874e6bf76aaeddf76c8d746a0ac1a.png]: /images/20220829/a4251d2746f54e5da9c181e2e2e7c924.png