Session Puzzling: Spring

攻击者可以修改 Spring 会话属性，这可能会导致滥用应用程序逻辑。

使用 @SessionAttributes 标注的类意味着，Spring 会将更改复制到会话对象中的模型属性。如果攻击者能够在模型属性中存储任意值，这些更改将在会话对象中复制，并可能得到应用程序信任。如果会话属性使用用户应当无法修改的可信赖数据进行初始化，攻击者则能够实施 Session Puzzling 攻击，滥用应用程序逻辑。

示例 1：以下控制器包含一种在成功登录时向会话加载用户数据的方法。

@Controller
@SessionAttributes("user")
public class HomeController {
    ...
    @RequestMapping(value= "/auth", method=RequestMethod.POST)
    public String authHandler(@RequestParam String username, @RequestParam String password, RedirectAttributes attributes, Model model) {
        User user = userService.findByNamePassword(username, password);
        if (user == null) {
            // Handle error
            ...
        } else {
            // Handle success
            attributes.addFlashAttribute("user", user);
            return "redirect:home";
        }
    }
    ...
}

另一个控制器处理密码重置功能。它尝试从会话加载 User 实例，因为此类使用 @SessionAttributes("user") 标注，并使用它来验证密码重置问题。

@Controller
@SessionAttributes("user")
public class ResetPasswordController {

    @RequestMapping(value = "/resetQuestion", method = RequestMethod.POST)
    public String resetQuestionHandler(@RequestParam String answerReset, SessionStatus status, User user, Model model) {

        if (!user.getAnswer().equals(answerReset)) {
            // Handle error
            ...
        } else {
            // Handle success
            ...
        }
    }
}

开发人员的意图是从会话加载 user 实例，此会话是在登录过程中存储实例的位置。然而，Spring 将检查请求，并且尝试将其数据绑定到模型 user 实例。如果接收的请求包含可绑定到 User 类的数据，Spring 会将接收的数据合并到用户会话属性中。通过在 answerReset 查询参数中提交任意答案并提交相同值覆盖会话中存储的值，可以滥用这种情况。这样，攻击者可以为随机用户设置任意新密码。