Struts2-057 两个版本RCE漏洞分析(含EXP)

访客5年前黑客工具404

  2018年8月22日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞(S2-057/CVE-2018-11776),该漏洞由Semmle Security Research team的安全研究员Man YueMo发现。

  该漏洞是由于在Struts2开发框架中使用namespace功能定义XML配置时,namespace值未被设置且在上层动作配置(Action Configuration)中未设置或用通配符namespace,可能导致远程代码执行。同理,url标签未设置value和action值且上层动作未设置或用通配符namespace时也可能导致远程代码执行,经过笔者自建环境成功复现漏洞且可以执行命令回显,文末有你们想要的 !

  笔者搭的环境分别是Strust2 2.3.20版本和 Strust2 2.3.34版本,漏洞利用大致分为三种方式:数值计算、弹出计算器、 命令回显。

  数值计算相对最简单,在URL上指定 %{100+200} 就可以发生跳转,得到计算的结果

  Struts2-057 两个版本RCE漏洞分析

  2.3.20版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析

  Struts2-057 两个版本RCE漏洞分析

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析

  两个版本都是利用com.opensymphony.xwork2.dispatcher.HttpServletResponse对象去打印命令执行后的回显数据

  2.3.20版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析2.3.34版本的POC如下:

  Struts2-057 两个版本RCE漏洞分析攻击后效果如下图

  Struts2-057 两个版本RCE漏洞分析

  在分析漏洞之前,需要配置struts.xml文件,这个文件就是struts2的核心配置文件,大多数的时候增减配置都需要操控这里;

  Struts2-057 两个版本RCE漏洞分析总共两处需要注意,之一处一定要配置struts.mapper.alwaysSelectFullNamespace =true ,否则不能触发漏洞,这个配置的目的是设定是否一直在最后一个斜线之前的任何位置选定NameSpace;第二处result标签返回的类型选择 “ redirectAction 或 chain“ , 只有这两个配置选项的值是可以将action转发或者重定向;关于type具体可以参考下图

  image.png说完了配置,开始动态分析。漏洞位于

  struts2-core.jar!/org/apache/struts2/dispatcher/ServletActionRedirectResult.class

  Struts2-057 两个版本RCE漏洞分析this.namespace这个成员的值来自于getNamespace() *** ,再通过getUriFromActionMapping()返回URI字符串;

  Struts2-057 两个版本RCE漏洞分析通过getUriFromActionMapping获取的值赋给了tmpLocation变量,接着表达式进入setLocation ***

  Struts2-057 两个版本RCE漏洞分析再通过super.execute *** 调用了ServletActionResult ,而在execute *** 体内跟进了conditionalParse *** ,在这个 *** 内调用了ONGL执行的关键 *** translateVariables。

  Struts2-057 两个版本RCE漏洞分析

  获得的param值传入到translateVariables() *** 内,最终在OnglTextPaser里导致了OGNL表达式执行。

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析再弹出计算器后获得lastFinalLocation的值为当前执行后的句柄,这个值作为响应跳转的action地址,也就是在浏览器中弹出计算器后在地址栏中出现的URI

  Struts2-057 两个版本RCE漏洞分析到这里弹出计算器的分析到此为止,接下来看下基于命令执行回显结果的分析,基本上流程和上述一样,唯一不同之处lastFinalLocation返回的值是NULL,这也就引发出提交后没有做302的跳转,依旧是当前的action,并且返回的值是200

  Struts2-057 两个版本RCE漏洞分析Struts2-057 两个版本RCE漏洞分析知道了原理后小同事用python实现了exp检测脚本,此脚本用途仅供学习研究;

  Struts2-057 两个版本RCE漏洞分析

  1. 将框架版本升级到官方最新版本;

  2. 对于Web应用来说,尽量保证代码的安全性;

  3. 对于IDS规则层面来说,数值计算和弹计算器返回的状态码都是302,并且Location跳转字段含有特征句柄字符串;如果是命令回显返回的200状态码,且有命令结果输出;

  文章中提及的python EXP下载地址: https://github.com/Ivan1ee ;

  https://cwiki.apache.org/confluence/display/WW/S2-057

  https://lgtm.com/blog/apache_struts_CVE-2018-11776

  https://blog.csdn.net/madison__/article/details/55671426

  *本文作者:360云影实验室,转自 FreeBuf

相关文章

目前玩什么游戏最赚钱(史上最赚钱的国产游戏

目前玩什么游戏最赚钱(史上最赚钱的国产游戏

大家好,这里是正经游戏,我是正经小弟。 根据华尔街日报报道,目前国内最火的游戏《绝地求生》在截止4月份的时候全球总收入已超过10亿美元,折合人民币约68.458亿元。然而国内居然有许多总收入远超...

土耳其清算十万人(土耳其人图片)

历史上奥斯曼帝国(鄂图曼土耳其语:Osmanl??mparatorlu?u或Devlet-iAliye-iOsmaniye)亦称奥斯曼土耳其帝国,也译作奥托曼帝国或鄂。 土耳其最有钱的地方当然是伊斯坦...

934防晒霜如何_评测_晒后缓解 清新不油腻

934防晒霜如何?评测:晒后缓解 清新不油腻 934颜霜材质细致光洁,易拉开,破乳快,没有补水面膜,事后妆面头发柔顺。觉得肌肤在吸气沒有脸上痘痘。它有独特的专利权秘方,PA的紫外线指数充足平时应用,...

中国梦是什么意思(中国怎么才能实现中国梦)

中国梦是什么意思(中国怎么才能实现中国梦)

||崔永元被问“你的中国梦是什么?”小崔只说了3个字 崔永元是国内著名主持人,他也是“实话实说”的主持人代表人物,敢于说真话,用他自己的话来说“我和群众是一样的”!所以他才会有勇气说出自己的内心想法...

美国为什么打越南打了20年(美国打越南的原因)

  从古至今,全世界的战事从没终止过。不论是古时候還是在当代,世界各国都常常为了更好地自身的权益对其他国家启动侵华战争。不论是古代战争還是20世纪的2次战争,这一我国为了更好地自身的权益开战后都是会投...

如何从竞争对手抢夺客户,轻松截留精准客源!

如何从竞争对手抢夺客户,轻松截留精准客源!

各行各业竞争都是非常激烈的,这样一来客户的选择性就比较大,那么我们如何从竞争对手的手中抢夺精准用户呢,下面我们就通过案例来看看抢夺客源并没那么难。 看到这个标题,有人就疑惑了: 我好好的做引流,和竞争...