Struts2漏洞分析

Struts2漏洞分析

当在浏览器输入如下地址时:

       http://www.xxxx.com/aaa.action?('\u0023_memberAccess[\'allowStaticMethodAccess\']')(meh)=true&(aaa)(('\u0023context[\'xwork.MethodAccessor.denyMethodExecution\']\u003d\u0023foo')(\u0023foo\u003dnew%20java.lang.Boolean("false")))&(asdf)(('\u0023rt.exit(1)')(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1 

输入以后,服务器端就会崩溃

原因如下:

1、  首先这个url翻译后?后面的内容如下:

?('#_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('#context['xwork.MethodAccessor.denyMethodExecution']=#foo')(#foo=new%20java.lang.Boolean("false")))&(asdf)(('#rt.exit(1)')(#rt=@java.lang.Runtime@getRuntime()))=1

2、  当提交这个url后,经过了一个拦截器名为ParametersInterceptor (com.opensymphony.xwork2.interceptor.ParametersInterceptor)

其中有这么一行源代码:

   意思为:可以改变值栈中的值。例如

               action中有一个属性name(nameset方法)

        利用stack.setValue(“name”,”aaa”);就把name属性的值改为aaa字符串。

在上述的url中,有两个至关重要的值:

map栈中:

     下图:

_memberAccessOgnlContext中的一个属性,这是一个权限类SecurityMemberAccess,该权限类中有一个方法allowStaticMethodAccess:是否允许访问静态方法。通过上面的url,把该属性的值设置为了true(默认值为false),

context['xwork.MethodAccessor.denyMethodExecution']则是

只有这个值为false,Ognl表达式才能执行自定义的变量

map栈中的其中一个值,这个是一个boolean值,设置为true,ognl表达式就能够调用静态的方法

(asdf)(('#rt.exit(1)')(#rt=@java.lang.Runtime@getRuntime()))=1则是一个shellcoade,ognl表达式可以执行静态方法,这样就可以调用java中的命令了。

当执行(asdf)(('\u0023rt.exit(1)')(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1这个代码的时候相当于java.lang.Runtime.getRuntime().exit(1);,这个时候整个程序关闭了,所以web容器也被关闭了。

为什么会存在这样的漏洞:

1、  struts2提供了存储数据的内存结构valueStack

2、  struts2也提供了访问数据的方式ognl表达式

3、  ognl表达式不但可以访问到valueStack中的值,而且还可以改变valueStack中的值

调用valueStack.setValue即可

4、  ognl表达式还能执行静态方法,并且嵌入一些shellcoade代码执行。

这样的结构很灵活,很方便程序员对数据进行操作,因为太灵活,所以在这里就存在安全性的隐患了。可以把一些特别的代码(导致系统崩溃)嵌入到ognl表达式中。

说明:

       上述url中的\u0023代表#号,%20代表空格,\u003代表等于

解决方案:

    1、 做一个自定义的拦截器,拦截器过滤url,如果含有\u0023这个字符串,则不能执行以后的操作。这个拦截器的执行一定要在ParameterInterceptor执行之前

2、下载xwork2源码 http://release.opensymphony.com/xwork/2.0.5/xwork-2.0.5-src.zip 把com/opensymphony/xwork2/interceptor/ParametersInterceptor.java加入到自己的项目中,修改com.opensymphony.xwork.interceptor.ParametersInterceptor#acceptableName(String name),在方法最前面加上: 

  1. boolean foundMatch = false;  
  2. foundMatch = name.contains("\\u0023");  
  3. if(foundMatch){  
  4.     return false;  
  5. }  

xml配置如下:

总结:

1、演示struts2的安全漏洞

       1、如果不写struts2的配置文件,是不能出现安全漏洞的

       2、如果写了一个action,但是action没有写对,也不能执行安全漏洞

       3、写对了以后就能够执行安全漏洞

2、解释原因:

       ognl表达式的用法

3、解析攻击的url

4、一种比较简单的方式进行防御

valueStack:值栈  struts2利用该结构存放对象(数据)

                 在后台只要把数据(对象)放入到值栈中

   1map 

         Person person = new Person();

        person.setPid(1L);

        person.setPname("传智播客");

        ActionContext.getContext().put("person", person);

        person被放到了map栈中

   2、对象栈

ognl表达式可以访问值栈中的数据

   ognl表达式访问map栈中的person

      #person.pname 访问map栈中的person对象的pname属性

_memberAccess:valueStack中就是

com.opensymphony.xwork2.ognl.SecurityMemberAccess@115c6cb

   1xwork2中的一个类

   2、该类是用来限制访问OgnlContext中的内容

 

转自传智播客

评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值