Struts2-057 两个版本RCE漏洞分析(含EXP)

访客5年前黑客工具406

  2018年8月22日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞(S2-057/CVE-2018-11776),该漏洞由Semmle Security Research team的安全研究员Man YueMo发现。

  该漏洞是由于在Struts2开发框架中使用namespace功能定义XML配置时,namespace值未被设置且在上层动作配置(Action Configuration)中未设置或用通配符namespace,可能导致远程代码执行。同理,url标签未设置value和action值且上层动作未设置或用通配符namespace时也可能导致远程代码执行,经过笔者自建环境成功复现漏洞且可以执行命令回显,文末有你们想要的 !

  笔者搭的环境分别是Strust2 2.3.20版本和 Strust2 2.3.34版本,漏洞利用大致分为三种方式:数值计算、弹出计算器、 命令回显。

  数值计算相对最简单,在URL上指定 %{100+200} 就可以发生跳转,得到计算的结果

  Struts2-057 两个版本RCE漏洞分析

  2.3.20版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析

  Struts2-057 两个版本RCE漏洞分析

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析

  两个版本都是利用com.opensymphony.xwork2.dispatcher.HttpServletResponse对象去打印命令执行后的回显数据

  2.3.20版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析2.3.34版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析攻击后效果如下图

  Struts2-057 两个版本RCE漏洞分析

  在分析漏洞之前,需要配置struts.xml文件,这个文件就是struts2的核心配置文件,大多数的时候增减配置都需要操控这里;

  Struts2-057 两个版本RCE漏洞分析总共两处需要注意,之一处一定要配置struts.mapper.alwaysSelectFullNamespace =true ,否则不能触发漏洞,这个配置的目的是设定是否一直在最后一个斜线之前的任何位置选定NameSpace;第二处result标签返回的类型选择 “ redirectAction 或 chain“ , 只有这两个配置选项的值是可以将action转发或者重定向;关于type具体可以参考下图

  image.png说完了配置,开始动态分析。漏洞位于

  struts2-core.jar!/org/apache/struts2/dispatcher/ServletActionRedirectResult.class

  Struts2-057 两个版本RCE漏洞分析this.namespace这个成员的值来自于getNamespace() *** ,再通过getUriFromActionMapping()返回URI字符串;

  Struts2-057 两个版本RCE漏洞分析通过getUriFromActionMapping获取的值赋给了tmpLocation变量,接着表达式进入setLocation ***

  Struts2-057 两个版本RCE漏洞分析再通过super.execute *** 调用了ServletActionResult ,而在execute *** 体内跟进了conditionalParse *** ,在这个 *** 内调用了ONGL执行的关键 *** translateVariables。

  Struts2-057 两个版本RCE漏洞分析

  获得的param值传入到translateVariables() *** 内,最终在OnglTextPaser里导致了OGNL表达式执行。

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析再弹出计算器后获得lastFinalLocation的值为当前执行后的句柄,这个值作为响应跳转的action地址,也就是在浏览器中弹出计算器后在地址栏中出现的URI

  Struts2-057 两个版本RCE漏洞分析到这里弹出计算器的分析到此为止,接下来看下基于命令执行回显结果的分析,基本上流程和上述一样,唯一不同之处lastFinalLocation返回的值是NULL,这也就引发出提交后没有做302的跳转,依旧是当前的action,并且返回的值是200

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析知道了原理后小同事用python实现了exp检测脚本,此脚本用途仅供学习研究;

  Struts2-057 两个版本RCE漏洞分析

  1. 将框架版本升级到官方最新版本;

  2. 对于Web应用来说,尽量保证代码的安全性;

  3. 对于IDS规则层面来说,数值计算和弹计算器返回的状态码都是302,并且Location跳转字段含有特征句柄字符串;如果是命令回显返回的200状态码,且有命令结果输出;

  文章中提及的python EXP下载地址: https://github.com/Ivan1ee ;

  https://cwiki.apache.org/confluence/display/WW/S2-057

  https://lgtm.com/blog/apache_struts_CVE-2018-11776

  https://blog.csdn.net/madison__/article/details/55671426

  *本文作者:360云影实验室,转自 FreeBuf

相关文章

找这个辽宁黑客QQ-手机上有哪些黑客软件(手机用的黑客软件有哪些)

找这个辽宁黑客QQ-手机上有哪些黑客软件(手机用的黑客软件有哪些)

找这个辽宁黑客QQ相关问题 什么黑客软件可以改金额相关问题 如何装黑客 黑客专用qq解冻软件苹果(黑客解冻qq)...

国内黑客接单网怎么在淘宝上找黑客

人们也许不能理解入侵浏览器是多么危险的事,但是他们很容易理解当黑客控制汽车是多么可怕的事情。 ——查理·米勒 空调自动启动,转到最大冷风;电台所有按钮失灵,自己跳转着频道;雨刷器莫名喷出清洗剂;随...

美国天才黑客事件(美国黑客天才少年)

美国天才黑客事件(美国黑客天才少年)

凯文·鲍尔森:从天才黑客到黑暗骇客的蜕变过程 出狱后的鲍尔森,由于之前的骇客行为,被严格禁止接触计算机,生活陷入困境,只能在杂物店做售货员。现年35岁的美国著名黑客巴纳拜·杰克(见图)在2010年“黑...

强大黑客攻暗恋受校园文(受是黑客天才,攻很强大)

强大黑客攻暗恋受校园文(受是黑客天才,攻很强大)

本文导读目录: 1、耽美小说推荐。攻暗恋受,然后经过一番刻苦追求后得美人青睐。最好是 2、跪求美攻强受文~谢谢了,大神帮忙啊 3、请推荐一些耽美文 暗恋的文 校园类的最好 4、纯校园攻爱恋...

找黑客调查别人隐私算犯罪吗-怎么才可以变成黑客(怎么才可以做黑客

怎么样还能成为一名黑客黑客能恢复被覆盖的数据吗(黑客一手数据出售)黑客组装电脑怎么样的大数据查的是身份证还是手机号(excel身份证数据对比)损友圈黑客是怎么来的黑客 摄像头(黑客破解家庭摄像头偷)黑...

微博热搜迎来定制化,但或许不用抱有太大期待

微博热搜迎来定制化,但或许不用抱有太大期待

编辑导读:经常有人诉苦,微博热搜上娱乐八卦占了大都,导致真正需要存眷的事件上不了热搜。近期,微博热搜定制化榜单上线,用户可以按照本身感乐趣的规模定制热搜。听起来好像很优美,可是作者却对此不看好,一起来...