2018年8月22日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞(S2-057/CVE-2018-11776),该漏洞由Semmle Security Research team的安全研究员Man YueMo发现。
该漏洞是由于在Struts2开发框架中使用namespace功能定义XML配置时,namespace值未被设置且在上层动作配置(Action Configuration)中未设置或用通配符namespace,可能导致远程代码执行。同理,url标签未设置value和action值且上层动作未设置或用通配符namespace时也可能导致远程代码执行,经过笔者自建环境成功复现漏洞且可以执行命令回显,文末有你们想要的 !
笔者搭的环境分别是Strust2 2.3.20版本和 Strust2 2.3.34版本,漏洞利用大致分为三种方式:数值计算、弹出计算器、 命令回显。
数值计算相对最简单,在URL上指定 %{100+200} 就可以发生跳转,得到计算的结果
2.3.20版本的POC如下:
两个版本都是利用com.opensymphony.xwork2.dispatcher.HttpServletResponse对象去打印命令执行后的回显数据
2.3.20版本的POC如下:
2.3.34版本的POC如下:
攻击后效果如下图
在分析漏洞之前,需要配置struts.xml文件,这个文件就是struts2的核心配置文件,大多数的时候增减配置都需要操控这里;
总共两处需要注意,之一处一定要配置struts.mapper.alwaysSelectFullNamespace =true ,否则不能触发漏洞,这个配置的目的是设定是否一直在最后一个斜线之前的任何位置选定NameSpace;第二处result标签返回的类型选择 “ redirectAction 或 chain“ , 只有这两个配置选项的值是可以将action转发或者重定向;关于type具体可以参考下图
说完了配置,开始动态分析。漏洞位于
struts2-core.jar!/org/apache/struts2/dispatcher/ServletActionRedirectResult.class
this.namespace这个成员的值来自于getNamespace() *** ,再通过getUriFromActionMapping()返回URI字符串;
通过getUriFromActionMapping获取的值赋给了tmpLocation变量,接着表达式进入setLocation ***
再通过super.execute *** 调用了ServletActionResult ,而在execute *** 体内跟进了conditionalParse *** ,在这个 *** 内调用了ONGL执行的关键 *** translateVariables。
获得的param值传入到translateVariables() *** 内,最终在OnglTextPaser里导致了OGNL表达式执行。
再弹出计算器后获得lastFinalLocation的值为当前执行后的句柄,这个值作为响应跳转的action地址,也就是在浏览器中弹出计算器后在地址栏中出现的URI
到这里弹出计算器的分析到此为止,接下来看下基于命令执行回显结果的分析,基本上流程和上述一样,唯一不同之处lastFinalLocation返回的值是NULL,这也就引发出提交后没有做302的跳转,依旧是当前的action,并且返回的值是200
知道了原理后小同事用python实现了exp检测脚本,此脚本用途仅供学习研究;
1. 将框架版本升级到官方最新版本;
2. 对于Web应用来说,尽量保证代码的安全性;
3. 对于IDS规则层面来说,数值计算和弹计算器返回的状态码都是302,并且Location跳转字段含有特征句柄字符串;如果是命令回显返回的200状态码,且有命令结果输出;
文章中提及的python EXP下载地址: https://github.com/Ivan1ee ;
https://cwiki.apache.org/confluence/display/WW/S2-057
https://lgtm.com/blog/apache_struts_CVE-2018-11776
https://blog.csdn.net/madison__/article/details/55671426
*本文作者:360云影实验室,转自 FreeBuf
找黑客盗回QQ靠谱吗相关问题 黑客解散微信群相关问题 生死狙击黑客怎么当 贝塔是什么梗(舒克贝塔什么梗) 怎么查...
本文目录一览: 1、十二岁孩子黑公安局档案是什么电视剧? 2、有哪些天才少年黑客? 3、刚看了一部电影,忘记名字了!美国片子!一个中学生小孩是个黑客,黑进了美国国防部,和智能电脑打了全球 十...
一、淘宝怎么怎么找黑客 1、黑客接单这意味着你应该学习几种不同的语言。淘宝怎么免费小北苹果手机进入应用商店搜索滴滴特殊汽车司机下载和安装。接单黑客如果你想成为一个黑客,你必须完全相信它,尽可能地自动化...
愈来愈多的女士小小年纪逐渐闭经,因为日常生活的工作压力和坏习惯,它是卵巢出现异常衰落的预兆,不但危害生育功能,还会继续引起一系列的病发症,女士越晚闭经越好么?一切正常停经年龄多大?下边产生详细介绍。...
跨域资源共享由于相关论题触及的内容太广,笔者决定将一切内容分红一系列文章,且只环绕AFL这一具有里程碑含义的东西打开,从最简略的运用方法和根本概念讲起,再由浅入深介绍测验完后的后续作业、怎么进步Fuz...
孩子在有段时间是特别的活跃的,他拼命的想跟爸爸妈妈分享自己的想法,自己色认知,不过孩子突然不愿意跟你讲话了是什么原因呢,友谊长存小编就来说说吧。 对孩子来说,父母是这个世界上最亲近、最可以依赖的人。...