2018年8月22日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞(S2-057/CVE-2018-11776),该漏洞由Semmle Security Research team的安全研究员Man YueMo发现。
该漏洞是由于在Struts2开发框架中使用namespace功能定义XML配置时,namespace值未被设置且在上层动作配置(Action Configuration)中未设置或用通配符namespace,可能导致远程代码执行。同理,url标签未设置value和action值且上层动作未设置或用通配符namespace时也可能导致远程代码执行,经过笔者自建环境成功复现漏洞且可以执行命令回显,文末有你们想要的 !
笔者搭的环境分别是Strust2 2.3.20版本和 Strust2 2.3.34版本,漏洞利用大致分为三种方式:数值计算、弹出计算器、 命令回显。
数值计算相对最简单,在URL上指定 %{100+200} 就可以发生跳转,得到计算的结果
2.3.20版本的POC如下:
两个版本都是利用com.opensymphony.xwork2.dispatcher.HttpServletResponse对象去打印命令执行后的回显数据
2.3.20版本的POC如下:
2.3.34版本的POC如下:
攻击后效果如下图
在分析漏洞之前,需要配置struts.xml文件,这个文件就是struts2的核心配置文件,大多数的时候增减配置都需要操控这里;
总共两处需要注意,之一处一定要配置struts.mapper.alwaysSelectFullNamespace =true ,否则不能触发漏洞,这个配置的目的是设定是否一直在最后一个斜线之前的任何位置选定NameSpace;第二处result标签返回的类型选择 “ redirectAction 或 chain“ , 只有这两个配置选项的值是可以将action转发或者重定向;关于type具体可以参考下图
说完了配置,开始动态分析。漏洞位于
struts2-core.jar!/org/apache/struts2/dispatcher/ServletActionRedirectResult.class
this.namespace这个成员的值来自于getNamespace() *** ,再通过getUriFromActionMapping()返回URI字符串;
通过getUriFromActionMapping获取的值赋给了tmpLocation变量,接着表达式进入setLocation ***
再通过super.execute *** 调用了ServletActionResult ,而在execute *** 体内跟进了conditionalParse *** ,在这个 *** 内调用了ONGL执行的关键 *** translateVariables。
获得的param值传入到translateVariables() *** 内,最终在OnglTextPaser里导致了OGNL表达式执行。
再弹出计算器后获得lastFinalLocation的值为当前执行后的句柄,这个值作为响应跳转的action地址,也就是在浏览器中弹出计算器后在地址栏中出现的URI
到这里弹出计算器的分析到此为止,接下来看下基于命令执行回显结果的分析,基本上流程和上述一样,唯一不同之处lastFinalLocation返回的值是NULL,这也就引发出提交后没有做302的跳转,依旧是当前的action,并且返回的值是200
知道了原理后小同事用python实现了exp检测脚本,此脚本用途仅供学习研究;
1. 将框架版本升级到官方最新版本;
2. 对于Web应用来说,尽量保证代码的安全性;
3. 对于IDS规则层面来说,数值计算和弹计算器返回的状态码都是302,并且Location跳转字段含有特征句柄字符串;如果是命令回显返回的200状态码,且有命令结果输出;
文章中提及的python EXP下载地址: https://github.com/Ivan1ee ;
https://cwiki.apache.org/confluence/display/WW/S2-057
https://lgtm.com/blog/apache_struts_CVE-2018-11776
https://blog.csdn.net/madison__/article/details/55671426
*本文作者:360云影实验室,转自 FreeBuf
例如上面的验证码图,他是一整张图片,辨认其关键字首要要对关键字区域进行图画截取,随后辨认成文字。 update-alternatives: using /usr/bin/ruby1.8 to prov...
有些进犯方式尽管听起来很天真,但有时分却也能够收效,比方typosquatting进犯——咱们前次看到这种进犯是在上一年6月份,这自身也是种很陈旧的进犯方式。 所谓的typosquatting,主要...
0.7 接下来测验是何种加密,测验为aes-ecb加密,那么是怎么确认的呢,安排内部文件曝光03bb7648 00 00 00 00 60 59 57 01-00 00 00 00 00 00 0...
今天淘宝手机客户端推送一个新功能,用户点击进去可以看到自己从第一使用淘宝到现在一共花了多少钱?小面是小编自己6年淘宝路 剁手了10多万。你们了?...
.text:0000000000466B00 mov rax, ; h@cfreal的文章中已经说了,我这里在多说句,相关代码可以看看1和2还有SAFE_ACCPET的宏定义:根据微软发布的安全公告...
郑州富士康如何(郑州富士康热季为什么刮起辞职潮)郑州富士康后大半年的热季总算来啦,加班工资、奖励金、返费……大半年出来能挣几万块!每日从四面八方五湖四海来面试新员工入职的不计其数。殊不知,在如火如...