Struts2-057 两个版本RCE漏洞分析(含EXP)

访客4年前黑客工具376

  2018年8月22日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞(S2-057/CVE-2018-11776),该漏洞由Semmle Security Research team的安全研究员Man YueMo发现。

  该漏洞是由于在Struts2开发框架中使用namespace功能定义XML配置时,namespace值未被设置且在上层动作配置(Action Configuration)中未设置或用通配符namespace,可能导致远程代码执行。同理,url标签未设置value和action值且上层动作未设置或用通配符namespace时也可能导致远程代码执行,经过笔者自建环境成功复现漏洞且可以执行命令回显,文末有你们想要的 !

  笔者搭的环境分别是Strust2 2.3.20版本和 Strust2 2.3.34版本,漏洞利用大致分为三种方式:数值计算、弹出计算器、 命令回显。

  数值计算相对最简单,在URL上指定 %{100+200} 就可以发生跳转,得到计算的结果

  Struts2-057 两个版本RCE漏洞分析

  2.3.20版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析

  Struts2-057 两个版本RCE漏洞分析

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析

  两个版本都是利用com.opensymphony.xwork2.dispatcher.HttpServletResponse对象去打印命令执行后的回显数据

  2.3.20版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析2.3.34版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析攻击后效果如下图

  Struts2-057 两个版本RCE漏洞分析

  在分析漏洞之前,需要配置struts.xml文件,这个文件就是struts2的核心配置文件,大多数的时候增减配置都需要操控这里;

  Struts2-057 两个版本RCE漏洞分析总共两处需要注意,之一处一定要配置struts.mapper.alwaysSelectFullNamespace =true ,否则不能触发漏洞,这个配置的目的是设定是否一直在最后一个斜线之前的任何位置选定NameSpace;第二处result标签返回的类型选择 “ redirectAction 或 chain“ , 只有这两个配置选项的值是可以将action转发或者重定向;关于type具体可以参考下图

  image.png说完了配置,开始动态分析。漏洞位于

  struts2-core.jar!/org/apache/struts2/dispatcher/ServletActionRedirectResult.class

  Struts2-057 两个版本RCE漏洞分析this.namespace这个成员的值来自于getNamespace() *** ,再通过getUriFromActionMapping()返回URI字符串;

  Struts2-057 两个版本RCE漏洞分析通过getUriFromActionMapping获取的值赋给了tmpLocation变量,接着表达式进入setLocation ***

  Struts2-057 两个版本RCE漏洞分析再通过super.execute *** 调用了ServletActionResult ,而在execute *** 体内跟进了conditionalParse *** ,在这个 *** 内调用了ONGL执行的关键 *** translateVariables。

  Struts2-057 两个版本RCE漏洞分析

  获得的param值传入到translateVariables() *** 内,最终在OnglTextPaser里导致了OGNL表达式执行。

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析再弹出计算器后获得lastFinalLocation的值为当前执行后的句柄,这个值作为响应跳转的action地址,也就是在浏览器中弹出计算器后在地址栏中出现的URI

  Struts2-057 两个版本RCE漏洞分析到这里弹出计算器的分析到此为止,接下来看下基于命令执行回显结果的分析,基本上流程和上述一样,唯一不同之处lastFinalLocation返回的值是NULL,这也就引发出提交后没有做302的跳转,依旧是当前的action,并且返回的值是200

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析知道了原理后小同事用python实现了exp检测脚本,此脚本用途仅供学习研究;

  Struts2-057 两个版本RCE漏洞分析

  1. 将框架版本升级到官方最新版本;

  2. 对于Web应用来说,尽量保证代码的安全性;

  3. 对于IDS规则层面来说,数值计算和弹计算器返回的状态码都是302,并且Location跳转字段含有特征句柄字符串;如果是命令回显返回的200状态码,且有命令结果输出;

  文章中提及的python EXP下载地址: https://github.com/Ivan1ee ;

  https://cwiki.apache.org/confluence/display/WW/S2-057

  https://lgtm.com/blog/apache_struts_CVE-2018-11776

  https://blog.csdn.net/madison__/article/details/55671426

  *本文作者:360云影实验室,转自 FreeBuf

相关文章

黑客帝国里的史密斯是个什么存在(黑客帝国里的史密斯是个什么存在的)

黑客帝国里的史密斯是个什么存在(黑客帝国里的史密斯是个什么存在的)

谁知道黑客帝国中机器章鱼,史密斯……代表什么? 1、因为史密斯是杀毒程序,所以被矩阵赋予了超越常人的能力。特工史密斯一开始就是矩阵这个程序世界中的一个普通的杀毒程序,其职责和其他特工一样就是负责清除对...

你好,开房记录一般保存多久?

  至少一年,各地情况不一.很多地方是永久保存.(公安系统内有足够的信息空间保存这些).宾馆那边登记后信息就自动备份到公安局的服务器上了.有详细的记录,什么时间,几个人,哪个房间,身份证扫描件都有....

黑客夺旗战(黑客 比赛)

黑客夺旗战(黑客 比赛)

本文目录一览: 1、战舰世界有单机版吗 2、弹弹堂现在怎么玩不了夺旗战了? 3、太空行动怎么自己创建游戏模式 4、超级群英传手游新手怎么打国战 夺旗战玩法解析 5、魔兽世界战场的机制是...

奶奶跳舞爷爷在背后扇扇子 现场图片详情曝光网友直呼被甜到了

奶奶跳舞爷爷在背后扇扇子 现场图片详情曝光网友直呼被甜到了

近日, 一段奶奶跳舞爷爷在背后扇扇子的视频,引起网友的羡慕。 奶奶在跳广场舞,汗流浃背,爷爷心疼奶奶就在她背后默默扇风。全网最真实的爱情,全广场最幸福的奶奶。...

SEO搜索优化 如何进行网站站内SEO优化?

SEO搜索优化 如何进行网站站内SEO优化?

  站内优化,顾名思义就是指网站内部优化,即网站本身内部的优化,SEO站内优化包括 代码和标签优化、内容优化、URL优化。 1、文章关键词密度需合理 文章关键词的密度应为2%~8%,插入合理...

游戏黑客在哪里找-怎么从0开始学黑客的书(怎么从0开始学黑客的书籍)

游戏黑客在哪里找-怎么从0开始学黑客的书(怎么从0开始学黑客的书籍)

游戏黑客在哪里找相关问题 求黑客联系方式便宜的相关问题 黑客如何攻击电脑的 通过淘宝id会查到个人信息吗(淘宝id查)...