2018年8月22日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞(S2-057/CVE-2018-11776),该漏洞由Semmle Security Research team的安全研究员Man YueMo发现。
该漏洞是由于在Struts2开发框架中使用namespace功能定义XML配置时,namespace值未被设置且在上层动作配置(Action Configuration)中未设置或用通配符namespace,可能导致远程代码执行。同理,url标签未设置value和action值且上层动作未设置或用通配符namespace时也可能导致远程代码执行,经过笔者自建环境成功复现漏洞且可以执行命令回显,文末有你们想要的 !
笔者搭的环境分别是Strust2 2.3.20版本和 Strust2 2.3.34版本,漏洞利用大致分为三种方式:数值计算、弹出计算器、 命令回显。
数值计算相对最简单,在URL上指定 %{100+200} 就可以发生跳转,得到计算的结果
2.3.20版本的POC如下:
两个版本都是利用com.opensymphony.xwork2.dispatcher.HttpServletResponse对象去打印命令执行后的回显数据
2.3.20版本的POC如下:
2.3.34版本的POC如下:
攻击后效果如下图
在分析漏洞之前,需要配置struts.xml文件,这个文件就是struts2的核心配置文件,大多数的时候增减配置都需要操控这里;
总共两处需要注意,之一处一定要配置struts.mapper.alwaysSelectFullNamespace =true ,否则不能触发漏洞,这个配置的目的是设定是否一直在最后一个斜线之前的任何位置选定NameSpace;第二处result标签返回的类型选择 “ redirectAction 或 chain“ , 只有这两个配置选项的值是可以将action转发或者重定向;关于type具体可以参考下图
说完了配置,开始动态分析。漏洞位于
struts2-core.jar!/org/apache/struts2/dispatcher/ServletActionRedirectResult.class
this.namespace这个成员的值来自于getNamespace() *** ,再通过getUriFromActionMapping()返回URI字符串;
通过getUriFromActionMapping获取的值赋给了tmpLocation变量,接着表达式进入setLocation ***
再通过super.execute *** 调用了ServletActionResult ,而在execute *** 体内跟进了conditionalParse *** ,在这个 *** 内调用了ONGL执行的关键 *** translateVariables。
获得的param值传入到translateVariables() *** 内,最终在OnglTextPaser里导致了OGNL表达式执行。
再弹出计算器后获得lastFinalLocation的值为当前执行后的句柄,这个值作为响应跳转的action地址,也就是在浏览器中弹出计算器后在地址栏中出现的URI
到这里弹出计算器的分析到此为止,接下来看下基于命令执行回显结果的分析,基本上流程和上述一样,唯一不同之处lastFinalLocation返回的值是NULL,这也就引发出提交后没有做302的跳转,依旧是当前的action,并且返回的值是200
知道了原理后小同事用python实现了exp检测脚本,此脚本用途仅供学习研究;
1. 将框架版本升级到官方最新版本;
2. 对于Web应用来说,尽量保证代码的安全性;
3. 对于IDS规则层面来说,数值计算和弹计算器返回的状态码都是302,并且Location跳转字段含有特征句柄字符串;如果是命令回显返回的200状态码,且有命令结果输出;
文章中提及的python EXP下载地址: https://github.com/Ivan1ee ;
https://cwiki.apache.org/confluence/display/WW/S2-057
https://lgtm.com/blog/apache_struts_CVE-2018-11776
https://blog.csdn.net/madison__/article/details/55671426
*本文作者:360云影实验室,转自 FreeBuf
测验装备文件设置及语法: httpd -t 留意数字和单位之间没有空格,例如:500mb是正确的,500mb格局是不对的(中心有空格),-b参数有必要和-oSTART结合运用[5...
短视频,自媒体,达人种草一站办事 最蜘蛛池 三十五台智能办事器,天天超万万蜘蛛爬行,让您的链吸收录率和排名快速提拔。现在有:百度蜘蛛池、搜狗蜘蛛池、360蜘蛛池、神马蜘蛛池、繁殖池、权重池,...
含有歌词“尚有几多个十年”的歌曲是《尚有几多个十几多年》。 中文名称:尚有几多个十年 所属专辑:两天一夜尤三姐 填 词:叶圣涛 编 曲:孔凡东,项知廉 那些年我们曾旦夕。 正确歌词“...
要怎样才能成为手机黑客(黑客手机号定位)(tiechemo.com)一直致力于黑客(HACK)技术、黑客QQ群、信息安全、web安全、渗透运维、黑客工具、找黑客、黑客联系方式、24小时在线网络黑客、黑...
当然是开店了啊,不管淘宝,天猫,京东,唯品店都行啊,难度依次递减,最简单的就是开唯品店,但是,准入门槛太高,pass,京东面太小,pass,天猫竟然有押金,pass,开个小淘宝店吧,然后勾搭一个主播妹...
钱都没有了,哪来的底气报复性消费 文/孙新合 经过大伙的不懈努力,疫情的防控终于取得明显成绩。不少人开始蠢蠢欲动,探讨疫情后最想做的事。 有人说,到空旷的田野呼吸新鲜空气,拼命呐喊,有人说,携带家人去...