搜索

[12608] 2018-04-20_现代版荆轲刺秦王：Struts2REST插件漏洞分析

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-04-20_现代版荆轲刺秦王：Struts2REST插件漏洞分析 现 代 版 荆 轲 刺 秦 王 ： S t r u t s 2   R E S T 插 件 漏 洞 分 析 原 创   进 击 的 大 熊 2 0 1 8   F r e e B u f   2 0 1 8 - 0 4 - 2 0 0 x 0 0   风 萧 萧 兮 易 水 寒 ， 壮 士 一 去 兮 不 复 还 风 萧 萧 兮 易 水 寒 ， 壮 士 一 去 兮 不 复 还 战 国 末 期 ， 大 秦 实 力 强 盛 ， 大 有 横 扫 六 合 之 势 ， 在 灭 了 韩 、 赵 两 国 后 ， 下 一 个 目 标 就 是 燕 国 。 燕 国 不 愿 束 手 就 擒 ， 燕 太 子 丹 决 定 派 人 行 刺 秦 王 。 这 名 勇 ( b e i ) 敢 ( c u i ) 的 武 士 ， 名 叫 荆 轲 。 为 了 能 接 近 秦 王 ， 太 子 丹 让 荆 轲 带 上 两 样 秦 王 需 要 的 宝 物 ： 秦 叛 将 樊 於 期 的 头 颅 、 燕 国 督 亢 的 地 图 。 而 行 刺 秦 王 的 匕 首 ， 就 塞 在 卷 着 的 地 图 的 最 里 面 。 秦 王 知 道 燕 国 已 唾 手 可 得 ， 这 时 燕 国 又 派 人 来 献 礼 ， 相 当 得 意 ， 便 在 咸 阳 宫 接 见 。 荆 轲 首 先 打 开 装 有 樊 於 期 头 颅 的 盒 子 ， 秦 王 见 状 大 悦 ， 拍 手 叫 好 。 紧 接 着 ， 镇 ( j i n ) 定 ( z h a n g ) 的 荆 轲 慢 慢 打 开 装 有 地 图 的 盒 子 ， 然 后 徐 徐 取 出 地 图 ， 捧 给 秦 王 。 在 秦 王 面 前 ， 荆 轲 一 点 一 点 展 开 卷 着 的 地 图 ， 展 到 尽 头 时 ， 银 光 一 现 ， 露 出 一 把 匕 首 ！ 荆 轲 见 匕 首 露 现 ， 连 忙 操 起 家 伙 ， 左 手 抓 住 秦 王 衣 袖 ， 右 手 举 起 匕 首 便 刺 ， 嘴 里 还 大 吼 一 句 三 字 咒 语 。 。 。 然 而 ， 秦 王 保 镖 可 不 是 省 油 的 灯 ， 后 来 剧 情 大 反 转 ， 荆 轲 刺 秦 王 不 成 ， 为 国 捐 躯 了 。 0 x 0 1   现 代 荆 轲 刺 秦 现 代 荆 轲 刺 秦 第 二 天 ， 秦 王 稳 定 情 绪 之 后 ， 赶 紧 召 集 安 全 大 会 ， 总 结 出 两 要 点 ： 1 、 安 全 过 滤 ； 匕 首 居 然 能 进 入 秦 国 中 央 朝 堂 ， 应 该 设 置 金 属 过 滤 装 置 ， 这 样 免 于 匕 首 这 类 凶 器 能 直 接 威 胁 秦 王 。 2 、 安 全 保 护 ； 秦 王 一 帧 一 帧 慢 慢 欣 赏 地 图 ， 看 到 最 后 竟 然 是 把 匕 首 ， 幸 好 身 边 的 保 镖 不 是 白 养 的 ， 及 时 保 护 秦 王 人 身 安 全 ， 记 一 大 功 。 最 近 闹 得 沸 沸 扬 扬 的 S t r u t s 2   R E S T 插 件 安 全 漏 洞 攻 击 ， 跟 荆 轲 刺 秦 其 实 是 一 样 的 套 路 ： 收 集 信 息 ： 寻 找 存 在 漏 洞 的 U R L ， 以 便 接 近 攻 击 主 机 （ 打 听 秦 王 需 要 的 东 西 ， 以 便 接 近 秦 王 ） 准 备 武 器 ： 恶 意 P a y l o a d 藏 在 数 据 包 内 （ 凶 器 匕 首 藏 在 地 图 内 ） 发 起 进 攻 ： P a y l o a d 反 序 列 化 后 执 行 恶 意 代 码 （ 图 穷 匕 见 ）
虽 是 一 样 套 路 ， 古 代 荆 轲 刺 秦 失 败 了 ， 但 现 代 的 S t r u t s 2   R E S T 插 件 安 全 漏 洞 攻 击 却 让 人 措 手 不 及 ， 究 其 原 因 ， 也 是 安 全 过 滤 、 保 护 机 制 没 能 做 好 。 1 、 安 全 过 滤 ： S t r u t s 2   R E S T 插 件 没 有 对 传 入 的 数 据 进 行 安 全 检 查 ， 导 致 恶 意 数 据 可 以 直 接 传 入 到 X S t r e a m 里 。 2 、 安 全 保 护 ； X S t r e a m 一 字 一 字 地 解 析 X M L 数 据 并 进 行 反 序 列 化 操 作 ， 结 果 竟 是 恶 意 代 码 ， 而 此 时 并 没 有 保 护 机 制 ， 导 致 主 机 被 攻 击 。 0 x 0 2   模 拟 攻 击 模 拟 攻 击 S 2 - 0 5 2 、 0 5 6 都 提 到 ： 漏 洞 发 生 于 A p a c h e   S t r u t s 2 的 R E S T 插 件 ， 当 使 用 X S t r e a m 组 件 对 X M L 格 式 的 数 据 包 进 行 反 序 列 化 操 作 ， 且 未 对 数 据 内 容 进 行 有 效 验 证 时 ， 攻 击 者 可 通 过 提 交 恶 意 X M L 数 据 对 应 用 进 行 远 程 攻 击 。 接 下 来 ， 根 据 提 到 的 几 个 条 件 ， 搭 建 环 境 ， 通 过 模 拟 攻 击 的 方 式 体 验 实 际 攻 击 的 场 景 。 整 个 模 拟 攻 击 过 程 ， 可 能 文 字 看 得 不 是 很 方 便 ， 于 是 录 了 个 视 频 ， 但 不 知 为 何 一 直 上 传 不 了 ， 想 看 的 朋 友 可 以 在 我 的 微 信 公 众 号 《 进 击 的 大 熊 》 ， 回 复 “ S 2 ” 即 可 观 看 演 示 视 频 。 1 、 虚 拟 机 搭 建 环 境 虚 拟 机 安 装 J D K 、 T o m c a t 、 S t r u t s 2 ， 相 关 版 本 信 息 如 下 （ 都 可 在 各 自 官 网 下 载 ） ： 操 作 系 统   U b u n t u - 1 2 . 0 4 . 5 - 6 4 位 、 J D K   1 . 8 - 6 4 位 、 T o m c a t   8 . 5 . 3 0 、 S t r u t s   2 . 5 . 1 2 J D K 和 T o m c a t 的 安 装 网 上 大 把 教 程 ， 注 意 版 本 和 跟 操 作 系 统 匹 配 就 行 。 S t r u t s   2 下 载 完 成 后 解 压 ， 把 a p p 目 录 下 的 s t r u t s 2 - r e s t - s h o w c a s e . w a r 放 到 t o m c a t 的 w e b a p p 目 录 即 可 。 2 、 启 动 t o m c a t ， 查 看 I P 地 址 3 、 使 用 工 具 ， 生 成 P a y l o a d 工 具 是 大 神 M o r i t z   B e c h l e r 写 的 ， 源 码 地 址 为 ： h t t p s : / / g i t h u b . c o m / m b e c h l e r / m a r s h a l s e c ， 下 载 下 来 之 后 ： a 、 m a v e n 编 译   m v n   c l e a n   p a c k a g e   - D s k i p T e s t s （ 前 提 是 已 安 装 并 配 置 好 M a v e n ）
b 、 生 成 P a y l o a d （ 恶 意 代 码 是 执 行 ” 计 算 机 ” 程 序 ） ， 具 体 操 作 ： 在 生 成 的 t a r g e t 目 录 ， 执 行 ： j a v a   - c p   m a r s h a l s e c - 0 . 0 . 3 - S N A P S H O T - a l l . j a r   m a r s h a l s e c . X S t r e a m   I m a g e I O   “ x c a l c ”   > p a y l o a d . t x t c 、 生 成 的 p a y l o a d . t x t 即 为 包 含 恶 意 代 码 的 X M L 数 据 至 于 p a y l o a d 里 面 的 X M L 数 据 构 造 原 理 ， 具 体 可 以 参 照 大 神 M o r i t z   B e c h l e r 写 的 P D F （ h t t p s : / / g i t h u b . c o m / m b e c h l e r / m a r s h a l s e c / b l o b / m a s t e r / m a r s h a l s e c . p d f ） 惭 愧 ， 小 弟 还 没 能 把 握 住 其 原 理 ， 但 用 用 还 是 可 以 的 。 4 、 截 包 篡 改 数 据 浏 览 器 访 问   h t t p : / / 1 9 2 . 1 6 8 . 2 1 3 . 1 2 9 : 8 0 8 0 / s t r u t s 2 - r e s t - s h o w c a s e 打 开 神 器 B u r p S u i t e ， 配 置 好 代 理 ， 点 击 随 便 一 个 V i e w ， 截 包 。 在 h t t p 头 加 上 ： C o n t e n t - T y p e : a p p l i c a t i o n / x m l   ， 以 及 3 生 成 的 P a y l o a d
5 、 靶 机 执 行 恶 意 代 码 ， 弹 出 计 算 机 6 、 D O S 攻 击 为 了 实 现 S 2 - 0 5 6 提 到 的 D O S 攻 击 ， 写 了 个 p y t h o n 源 码 ， 发 了 N 个 打 开 计 算 机 的 恶 意 包 ， 结 果 导 致 我 那 可 怜 的 虚 拟 机 直 接 奔 溃 。 。 。 （ 源 码 下 载 链 接 见 文 章 末 尾 ， 仅 供 学 习 ）
0 x 0 3   跟 踪 分 析 跟 踪 分 析 模 拟 攻 击 之 后 ， 能 直 观 地 感 受 到 漏 洞 的 严 重 性 ， 但 是 仅 如 此 是 不 够 的 。 好 奇 心 驱 使 之 下 ， 继 续 探 索 造 成 漏 洞 的 原 因 。 于 是 ， 接 下 来 将 直 接 调 试 源 码 ， 从 发 送 恶 意 代 码 开 始 ， 跟 踪 整 个 过 程 。 1 、 下 载 并 导 入 源 码 、 下 载 并 导 入 源 码 下 载 得 到 官 方 源 码 包 s t r u t s 2 - r e s t - s h o w c a s e - 2 . 5 . 1 2 . w a r ， 并 通 过 e c l i p s e 导 入 到 工 程 中 ， F i l e — > I m p o r t — - > w a r   f i l e 在 官 网 上 下 载 并 关 联 好 相 关 的 源 码 ， 以 便 跟 踪 调 试 ， 比 如 s t r u t s 2 - r e s t - p l u g i n - 2 . 5 . 1 2 . j a r 、 x s t r e a m - 1 . 4 . 8 . j a r 、 x p p 3 _ m i n - 1 . 1 . 4 c - s o u r c e s . j a r 等 2 、 漏 洞 来 源 、 漏 洞 来 源 根 据 漏 洞 发 现 者 M a n   Y u e   M o 的 报 告 （ h t t p s : / / l g t m . c o m / b l o g / a p a c h e _ s t r u t s _ C V E - 2 0 1 7 - 9 8 0 5 ） ， 漏 洞 来 源 于 C o n t e n t T y p e H a n d l e r 接 口 。 3 、 突 破 口 设 断 点 、 突 破 口 设 断 点 在 源 码 搜 索 C o n t e n t T y p e H a n d l e r ， 有 两 处 发 现 ： a 、 X M L 解 释 器 ： 在 s t r u t s - p l u g i n . x m l 上 发 现 ： 当 c o n t e n t - t y p e 为 X M L 时 ， 将 指 定 X S t r e a m H a n d l e r ， 来 实 现 C o n t e n t T y p e H a n d l e r 接 口 。
b 、 在 o r g . a p a c h e . s t r u t s 2 . r e s t . C o n t e n t T y p e I n t e r c e p t o r 上 发 现 关 键 代 码 ： C o n t e n t T y p e H a n d l e r   h a n d l e r   =   s e l e c t o r . g e t H a n d l e r F o r R e q u e s t ( r e q u e s t ) ; 通 过 r e q u e s t 数 据 获 取 执 行 方 法 ， 结 合 上 面 的 发 现 ， 应 该 就 是 X S t r e a m H a n d l e r 在 代 码 下 面 还 可 以 看 到   h a n d l e r . t o O b j e c t ( r e a d e r ,   t a r g e t ) ;   对 得 到 的 x m l 数 据 进 行 反 序 列 化 操 作 。 为 了 实 现 跟 踪 ， 于 是 在 这 两 个 地 方 打 断 点 ， 并 重 新 调 试 “ 模 拟 攻 击 ” 流 程 。 4 、 用 B u r p S u i t e 截 断 发 恶 意 p a y l o a d 之 后 ， 程 序 停 在 断 点 处 ， 可 以 发 现 此 时 c o n t e n t T y p e 就 是 p a y l o a d 设 定 的 a p p l i c a t i o n / x m l
5 、 紧 接 着 ， 程 序 根 据 得 到 的 c o n t e n t T y p e 值 ， 将 h a n d l e r 赋 为   X S t r e a m H a n d l e r 。 值 得 注 意 的 是 ， 这 里 没 有 对 传 入 的 数 据 进 行 任 何 过 滤 操 作 ， 导 致 x m l 数 据 能 传 到 后 续 的 X S t r e a m H a n d l e r 6 、 X S t r e a m H a n l e r . t o O b j e c t 使 用 了 f r o m X M L 把 X M L 转 化 为 J a v a 对 象 ， 具 体 通 过 u n m a r s h a l 进 行 反 序 列 化 ， 调 试 过 程 发 现 u n m a r s h a l 没 有 对 数 据 进 行 安 全 检 查 ， 导 致 恶 意 代 码 最 终 执 行
0 x 0 4   防 护 建 议 防 护 建 议 1 、 受 影 响 版 本 S t r u t s   2 . 1 . 1   –   S t r u t s   2 . 5 . 1 4 . 1 2 、 修 复 建 议 A p a c h e   S t r u t s 官 方 已 发 布 2 . 5 . 1 6 新 版 本 框 架 ， 并 在 此 版 本 中 针 对 该 漏 洞 进 行 了 安 全 防 护 。
建 议 使 用 了 A p a c h e   S t r u t s 2   R E S T 插 件 的 用 户 排 查 自 有 框 架 是 否 受 该 漏 洞 影 响 ， 及 时 升 级 框 架 ， 并 替 换 X M L 解 析 器 为 J a c k s o n   X M L 处 理 类 J a c k s o n X m l H a n d l e r 。 P . S .   P y t h o n - D O S 测 试 源 码 文 件 下 载 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 Z b g H B U 3 y P Z Z — Z 3 q 4 8 q z 8 Q   密 码 ： z b 4 y 希 望 这 次 的 事 件 ， 能 引 起 大 家 对 信 息 安 全 的 重 视 。 希 望 这 次 的 事 件 ， 能 引 起 大 家 对 信 息 安 全 的 重 视 。 时 刻 牢 记 安 全 无 小 事 ， 防 微 杜 渐 是 关 键 ！ 时 刻 牢 记 安 全 无 小 事 ， 防 微 杜 渐 是 关 键 ！ *   本 文 作 者 ： 进 击 的 大 熊 2 0 1 8 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理