当使用可用于启用网关执行器的 Spring Cloud Gateway Server jar 时，SpEL也会被使用。而攻击者可以利用SpEL中的函数 StandardEvaluationContext，通过恶意输入来执行远程代码。
原文地址：https://wya.pl/2022/02/26/cve-2022-22947-spel-casting-and-evil-beans/
Spring Cloud Gateway Actuator API SpEL表达式注入命令执行漏洞复现打开vulhub，其安装方式可以查看https://blog.csdn.net/Tauil/article/details/125869410?spm=1001.2014.3001.5501，在靶机中输入
cd spring/CVE-2022-22947
sudo docker-compose up -d
sudo docker-compose ps
然后访问根据显示访问http://靶机IP:8080
当网页使用了Spring Cloud Gateway Actuator API，则可以通过GET方式访问 http://靶机IP:8080/actuator/gateway/routes查看其路由规则，因为这是个靶场，所以肯定是允许你访问的，正经网站肯定是不会给你访问的，Spring Cloud Gateway Actuator API的使用方式有
| ID | HTTP方法 | 描述 |
|---|---|---|
| globalfilters | GET | 显示应用于路由的全局过滤器列表 |
| routefilters | GET | 显示应用于特定路由的GatewayFilter工厂列表 |
| refresh | POST | 刷新路由配置 |
| routes | GET | 显示网关中定义的路由列表 |
| routes/{id} | GET | 显示有关特定路线的信息 |
| routes/{id} | POST | 将新路由添加到网关 |
| routes/{id} | DELETE | 从网关删除现有路由 |
具体内容可以查看https://blog.csdn.net/qq_30285985/article/details/102995277
通过查看可以知道这里需要的参数有：
| 名称 | 作用 |
|---|---|
| route_id | 路线编号 |
| filters | 过滤器链表 |
| uri | 服务器地址 |
每一个过滤器中都包含有ShortcutConfigurable接口，该接口中的getValue方法就使用到了StandardEvaluationContext来解析SpEL表达式，所以我们可以选择任一过滤器进行使用，这里使用过滤器AddResponseHeader
打开burpsuite进行放包，我们需要添加一个新的路由到网关，添加新的路由需要用POST方式提交，而网关最终会将所有的请求交给过滤链表filters进行处理，所以我们将待执行的命令放到filters中，具体数据包为：
POST /actuator/gateway/routes/hacker HTTP/1.1 Host: 靶机IP:8080 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:102.0) Gecko/20100101 Firefox/102.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,**;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 0
浏览器访问http://靶机IP:8080/actuator/gateway/routes查看到路由表配置，此时可以看到多出了我们新添加的路由路径hacker，并且可以看到他已经成功执行了我们输入的命令：whoami
