Session Puzzling: Spring

攻擊者會修改可能導致應用程式邏輯濫用的 Spring 階段作業屬性。

使用 @SessionAttributes 註解的類別，意味著 Spring 複製了對階段作業物件中的模型屬性的變更。如果攻擊者能夠在模型屬性內儲存任意值，將會在可能受應用程式信任的階段作業物件中複製這些變更。如果階段作業屬性透過使用者無法修改的信任資料初始化，則攻擊者可以執行階段作業疑難攻擊並濫用應用程式邏輯。

範例 1：以下控制項包含可在成功登入後便立即將使用者資料載入階段作業的方式。

@Controller
@SessionAttributes("user")
public class HomeController {
    ...
    @RequestMapping(value= "/auth", method=RequestMethod.POST)
    public String authHandler(@RequestParam String username, @RequestParam String password, RedirectAttributes attributes, Model model) {
        User user = userService.findByNamePassword(username, password);
        if (user == null) {
            // Handle error
            ...
        } else {
            // Handle success
            attributes.addFlashAttribute("user", user);
            return "redirect:home";
        }
    }
    ...
}

其他控制項可處理重設密碼功能。由於類別已使用 @SessionAttributes("user") 註解，將嘗試從階段作業載入 User 實例，並使用它來驗證重設密碼問題。

@Controller
@SessionAttributes("user")
public class ResetPasswordController {

    @RequestMapping(value = "/resetQuestion", method = RequestMethod.POST)
    public String resetQuestionHandler(@RequestParam String answerReset, SessionStatus status, User user, Model model) {

        if (!user.getAnswer().equals(answerReset)) {
            // Handle error
            ...
        } else {
            // Handle success
            ...
        }
    }
}

開發人員的意圖是將 user 實例從登入程序期間儲存所在的階段作業載入。但是，Spring 將會檢查要求並嘗試將其資料繫結至模型 user 實例。如果收到的要求包含可繫結至 User 類別的資料，Spring 會將收到的資料合併到使用者階段作業屬性。透過在 answerReset 查詢參數中提交任意答覆和相同的值覆寫階段作業中儲存的值，可濫用此案例。這樣一來，攻擊者可以為隨機使用者設定任意新密碼。