shell-script · pull · Feb 27, 2026 · Feb 27, 2026 · Feb 27, 2026 · Feb 27, 2026
diff --git a/BlueKeep/requirements.txt b/BlueKeep/requirements.txt
diff --git a/README.md b/README.md
diff --git a/books/Asia-26-Bai-Cast-Attack-Ghost-Bits-4.23.pdf b/books/Asia-26-Bai-Cast-Attack-Ghost-Bits-4.23.pdf
diff --git a/books/CVE-2026-41844 Spring Framework 开放重定向漏洞浅析.md b/books/CVE-2026-41844 Spring Framework 开放重定向漏洞浅析.md
@@ -0,0 +1,219 @@
+# CVE-2026-41844 Spring Framework 开放重定向漏洞浅析
+> QIANXIN Team
+> 来源：https://forum.butian.net/share/4951
+
+# 0x00 CVE-2026-41844
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-7aff2d3e51062d3e9e80e4782993df689e9f780d.png)  
+**主要影响范围：**
+
+Spring Framework:
+
+-   7.0.0 - 7.0.7
+-   6.2.0 - 6.2.18
+-   6.1.0 - 6.1.27
+-   5.3.0 - 5.3.48
+
+以及不再支持维护的版本同样受到影响。
+
+# 0x01 漏洞分析与复现
+
+## 1.1 分析过程
+
+以spring-webmvc 6.0.7为例。
+
+当Spring MVC接收到请求时，Servlet容器会调用DispatcherServlet的service方法（方法的实现在其父类FrameworkServlet中定义）：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-7a6ba78d145096ca19d0db32a7a1f01aa2e8838c.png)
+
+经过一系列的处理后，会调用doDispatch方法处理：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-71d0c79c4f4784f9079b3da74df6dbe0009daa50.png)
+
+在doDispatch方法中，经过一系列处理获取到url 和 Handler 映射关系后（HandlerAdapter），springMVC就可以根据请求的uri来找到对应的Controller和method，然后处理和响应请求。详细的分析可见[https://forum.butian.net/share/2214](https://forum.butian.net/share/2214)
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-9e259a96ec119b855f92b25d5a18c5a907a688fb.png)
+
+找到对应的HandlerAdapter后，会调用对应的Handler方法，也就是执行Controller里的业务逻辑了，执行完成之后会返回一个ModleAndView对象，然后渲染视图并进行返回，这里的逻辑是本次漏洞的分析的关键：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-4e164661dc717221e5ba9e65bee6bcbd9f69c78f.png)
+
+在获取到ModelAndView对象后，这里会调用applyDefaultViewName处理，这里是Spring 的默认视图解析逻辑：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-58c3dd615e1cf07bbb5dd51174fddb0de5e1b5f9.png)
+
+查看具体的代码逻辑，首先检查 mv 是否为 null（如果代码添加了 `@ResponseBody` 注解，mv 就为 null），然后判断 mv 中是否包含视图，如果对应的Controller代码中未显式指定视图名时，则调用 getDefaultViewName 方法去获取默认的视图名，并将获取到的默认视图名赋值给 mv：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-d7d6ddf0a277d092e9bea01c93c20074d9959680.png)
+
+查看getDefaultViewName，看看具体获取默认视图名的逻辑：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-8665985be7d37bcdd595bf1649a76bb93d873e1e.png)
+
+这里会继续调用viewNameTranslator#getViewName方法对请求进行处理。
+
+viewNameTranslator 其实是 RequestToViewNameTranslator：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-cc432e55fa31276957246359535910482e376bbf.png)
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-5af491a5a2a1957664273a91e18d4c5bc9b7bfe2.png)
+
+本质上，在 SpringMVC 中，RequestToViewNameTranslator 接口只有一个默认的实现类DefaultRequestToViewNameTranslator，WebFlux 则是ViewResolutionResultHandler 。
+
+在DefaultRequestToViewNameTranslator#getViewName方法中，**会从请求路径中直接提取字符串作为视图名**：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-cc9a702a17b6ab267cccef0cc06411855c60952f.png)
+
+ServletRequestPathUtils#getCachedPathValue方法是统一获取请求路径的方法。具体的解析可见[https://forum.butian.net/share/2606。](https://forum.butian.net/share/2606%E3%80%82)
+
+提取完请求路径后，会通过 transformPath 方法对路径进行处理，再分别加上前后缀后返回，默认的前后缀都是空字符串（如有需要，也可以进行配置）。
+
+transformPath 方法则主要功能如下：
+
+1.  去掉路径开始的 `/`
+2.  去掉路径结尾的 `/`
+3.  如果请求路径有扩展名，则去掉扩展名，例如请求路径是 `/1.txt`，经过这一步处理后，就变成了 `/1`
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-cabe7d1f2f688feb30ce83e602883b60633d4017.png)
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-b569289a69ddddbbb63b69d4088baeb90dcb381f.png)
+
+4.  如果 separator 与 SLASH 不同，则替换原来的分隔符（一般情况下，默认是相同的）。
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-9a8dd48be68c7b588415fbcdf9a163aff861b552.png)
+
+这里以如下Controller为例：
+
+```java
+@GetMapping("/**")
+public void catchAll() {
+
+}
+```
+
+当正常请求/demo时，可以看到，因为没有显示指定视图，所以ModelAndView对象里的内容均为null：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-885d2da684b8f5a4ce13decea316679d13a992bb.png)
+
+经过applyDefaultViewName方法处理后，取得对应的视图名，也就是默认的请求路径demo：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-7d86b67bbbe0dad2687f3a3717aaba56ee4c7cd5.png)
+
+这里也就得到了漏洞的第一个成因：**当 Spring MVC 或 Spring WebFlux 应用未显式指定视图名时,视图名会默认从请求路径提取。**
+
+处理完上述的一系列逻辑后，会调用processDispatchResult()进行异常处理、请求状态及触发请求完成事件,视图的渲染工作则交给了render()方法：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-c36c4f4dd4039691a506504fad537eb00ce93beb.png)
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-63fe84eca740d397c9f3eb8b3e10b0be961c3c7d.png)
+
+render()渲染过程中，如果ModelAndView中的viewName不为空，则调用resolveViewName从视图解析器获取对应的视图对象；否则使用ModelAndView#getview方法获取视图对象。
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-47486c2f5fd2e80dead1e2c717ceef4e478c414c.png)
+
+这里会进一步调用getCandidateViews方法进行处理，然后遍历所有的视图解析器，进行视图的创建与解析：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-059fe15e5edc2d21ce0d817a38fb4e2862bd78c4.png)
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-a8dcc54516ca04b8fb24d08c26fdc02eeb8bbbc2.png)
+
+而UrlBasedViewResolver会识别视图名中的特殊前缀，例如`redirect:` 会被解析为重定向，返回 302 响应跳转到后续指定的地址：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-883fb90a08d3b922e3bab52d123f338e124d376d.png)
+
+至此，CVE-2026-41844的完整链路大致梳理清楚了。下面是具体的漏洞复现过程。
+
+## 1.2 漏洞复现
+
+以SpringMVC为例：
+
+相关环境直接使用[https://github.com/andbin/spring-boot3-thymeleaf-basic-demo](https://github.com/andbin/spring-boot3-thymeleaf-basic-demo) 进行验证。
+
+根据前面的分析，可以定义一个Controller如下：
+
+```TypeScript
+@Controller
+public class MyController {
+
+    @GetMapping("/**")
+    public void catchAll() {
+
+    }
+}
+```
+
+启动对应的application后，只需访问`http://ip:port/redirect:https://www.attack.com.any`，通过302跳转后即可重定向到`https://www.attack.com`
+
+注意，根据前面的分析，在通过请求获取默认视图时，如果请求路径有扩展名，则去掉扩展名，这个拓展名会通过结尾最后一个`.`来区分。也就是说类似`www.attack.com`会被处理成`www.attack`,所以在最后构造poc时，要在实际跳转的域名后，增加类似`.any`的后缀，避免截断后无法正常跳转。
+
+下面是具体的效果：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-b5e7b1741dde33d857d6b27e8de8c321f5efee63.png)
+
+forward的转发同理，先定义一个转发的目标：
+
+```TypeScript
+
+@GetMapping("/internal/secret")
+@ResponseBody public String internalEndpoint() {
+    return "[敏感信息] 内部系统配置接口，仅内网可访问";
+}
+```
+
+只需请求`http://ip:port/forward:/internal/secret`即可成功转发：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-ed9f63a43f4960e31a4fa7b0adeaf4fae9b0cd48.png)
+
+Spring WebFlux同理，这里就不再赘述了。  
+另外，WebFlux 原生不支持 `forward:` 内部转发，因此仅受 `redirect:` 开放重定向影响。
+
+## 1.3 {\*spring}模式
+
+在官方的漏洞通告中，仅仅提到了`/**`的场景，实际上Spring5及之后的PathPattern解析模式，还支持类似`{*spring}`的写法，与`/**`大同小异，那么是否也会存在风险呢？
+
+查看官方文档：
+
+Representation of a parsed path pattern. Includes a chain of path elements for fast matching and accumulates computed state for quick comparison of patterns.
+
+`PathPattern` matches URL paths using the following rules:
+
+-   `?` matches one character
+-   `*` matches zero or more characters within a path segment
+-   `**` matches zero or more _path segments_ until the end of the path
+-   `{spring}` matches a _path segment_ and captures it as a variable named "spring"
+-   `{spring:[a-z]+}` matches the regexp `[a-z]+` as a path variable named "spring"
+-   `{*spring}` matches zero or more _path segments_ until the end of the path and captures it as a variable named "spring"
+
+**Note:** In contrast to `[AntPathMatcher](https://docs.spring.io/spring-framework/docs/current/javadoc-api/org/springframework/util/AntPathMatcher.html)`, `**` is supported only at the end of a pattern. For example, `/pages/{}` is valid but `/pages/{}/details` is not. The same applies also to the capturing variant `{*spring}`. The aim is to eliminate ambiguity when comparing patterns for specificity.
+
+根据官方文档的描述，其实`**`跟AntPathMatcher匹配规则区别不大，PathPattern在保持其匹配规则的基础上，新增了`{*spring}`的语法支持。
+
+`{*spring}`表示匹配余下的path路径部分并将其赋值给名为spring的变量（变量名可以根据实际情况随意命名，与`@PathVariable`名称对应即可）。同时，`{*spring}`是可以匹配剩余所有path的，类似`/**`，只是功能更强，可以获取到这部分动态匹配到的内容。
+
+```TypeScript
+@GetMapping("/{*path}")
+public void catchAll() {
+
+}
+```
+
+可以发现，同样成功利用，这里与`/**`的配置区别只是解析模式的不同，不影响具体的漏洞触发：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-e01c770706eb665d265e0ca566f554beeb8810ad.png)
+
+# 0x02 利用条件
+
+综上所述，相关漏洞的利用条件可以总结如下：
+
+1.  使用 Spring MVC 或 Spring WebFlux 框架
+2.  配置了类似 `/**` 通配符路径与`{*path}`映射（如全局视图路由）
+3.  对应路径的处理器未显式指定视图名称，依赖 Spring 自动从请求路径推导
+4.  使用了继承自 `UrlBasedViewResolver` 的视图解析器（Thymeleaf等主流视图技术默认均满足）
+
+# 0x03 修复方案
+
+官方具体修复如下：[https://github.com/spring-projects/spring-framework/blob/v6.2.19/spring-webmvc/src/main/java/org/springframework/web/servlet/view/DefaultRequestToViewNameTranslator.java](https://github.com/spring-projects/spring-framework/blob/v6.2.19/spring-webmvc/src/main/java/org/springframework/web/servlet/view/DefaultRequestToViewNameTranslator.java)
+
+通过请求获取完视图名后，新增对 `redirect:`、`forward:` 两个危险前缀的开头匹配校验。当匹配到危险前缀时直接抛出非法参数异常，由 Spring MVC 异常处理器转为 `400 Bad Request` 响应：
+
+![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2026/07/attach-ca608ed0990abedcfab14ae5c7667b9cea773cff.png)
diff --git a/books/FastJson2 Hash 碰撞 RCE 分析与复现.html b/books/FastJson2 Hash 碰撞 RCE 分析与复现.html