搜索

[6795] 2020-06-27_Struts2漏洞系列之【S2-032】特殊参数名前缀`method`导致的OGNL表达式执行

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2020-06-27_Struts2漏洞系列之【S2-032】特殊参数名前缀`method`导致的OGNL表达式执行 S t r u t s 2 漏 洞 系 列 之 【 S 2 - 0 3 2 】 特 殊 参 数 名 前 缀   ` m e t h o d : `   导 致 的 O G N L 表 达 式 执 行 E 安 全   2 0 2 0 - 0 6 - 2 7 以 下 文 章 来 源 于 安 恒 信 息 安 全 研 究 院   ， 作 者 P e n t e s 7 e a m S m i 1 e @ P e n t e s 7 e a m 漏 洞 信 息 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 0 7 当 启 用 动 态 方 法 调 用 时 ， 由 于 特 殊 参 数 名 前 缀     的 处 理 方 法 中 未 对 参 数 进 行 过 滤 ， 而 在 执 行     时 会 对 其 进 行 O G N L 表 达 式 解 析 ， 从 而 导 致 O G N L 表 达 式 执 行 。 漏 洞 复 现 漏 洞 复 现 影 响 范 围 影 响 范 围 S t r u t s   2 . 3 . 2 0   –   2 . 3 . 2 8 （ 2 . 3 . 2 0 . 3 和 2 . 3 . 2 4 . 3 除 外 ） 漏 洞 分 析 漏 洞 分 析 安 恒 信 息 安 全 研 究 院 安 恒 信 息 安 全 研 究 院   . 一 群 技 术 宅 m e t h o d : A c t i o n
首 先 该 漏 洞 需 要 在     中 将     设 置 为 t r u e 才 能 利 用 成 功 ， 2 . 3 . 1 5 . 1 之 前 默 认 为 t r u e ， 2 . 3 . 1 5 . 2 开 始 默 认 为 f a l s e 。 该 选 项 是 指 是 否 开 启     动 态 方 法 调 用 。 动 态 方 法 调 用 是 指 ： 表 单 元 素 的     不 直 接 等 于 某 个     的 名 字 ， 而 是 以 感 叹 号 后 加 方 法 名 来 指 定 对 应 的 动 作 名 ， 如   。 当 指 定 调 用 某 一 方 法 来 处 理 请 求 时 ， 就 不 会 走 默 认 执 行 处 理 请 求 的     方 法 。 我 们 知 道 官 方 为 了 修 复   S 2 - 0 1 6   特 殊 参 数 名 前 缀 导 致 的 O G N L 表 达 式 执 行 ， 删 除 了     中 对 特 殊 参 数 名 前 缀     和     的 处 理 ， 只 留 下 了     和     。 在     处 理     前 缀 的 地 方 下 断 点 。 因 为 我 们 开 启 了   s t r u t s . x m l D y n a m i c M e t h o d I n v o c a t i o n < c o n s t a n t   n a m e = " s t r u t s . e n a b l e . D y n a m i c M e t h o d I n v o c a t i o n "   v a l u e = " t r u e "   / > D y n a m i c   M e t h o d   I n v o c a t i o n a c t i o n A c t i o n l o g i n ! t e s t . a c t i o n e x e c u t e ( ) D e f a u l t A c t i o n M a p p e r r e d i r e c t : r e d i r e c t A c t i o n a c t i o n : m e t h o d : D e f a u l t A c t i o n M a p p e r m e t h o d :
  ， 所 以 这 里 会 进 入 i f 条 件 中 把 我 们 的 参 数 名     及 其 后 面 的 字 符 串 赋 值 给     对 象 的     属 性 。   对 象 存 储 有     的 配 置 信 息 ， 它 接 着 会 做 为     方 法 的 结 果 返 回 给     。 D y n a m i c M e t h o d I n v o c a t i o n m e t h o d : A c t i o n M a p p i n g m e t h o d A c t i o n M a p p i n g A c t i o n f i n d A c t i o n M a p p i n g S t r u t s P r e p a r e A n d E x e c u t e F i l t e
接 着 会 去 调 用     ， 根 据     对 象 的 信 息 调 用 对 应 的     。 它 调 用 了   的     方 法 ， 首 先 使 用   、 、   对 象 封 装 了 一 个   t h i s . e x e c u t e . e x e c u t e A c t i o n ( r e q u e s t ,   r e s p o n s e ,   m a p p i n g ) ; A c t i o n M a p p i n g A c t i o n p u b l i c   v o i d   e x e c u t e A c t i o n ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   H t t p S e r v l e t R e s p o n s e   r e s p o n s e ,   A c t i o n M a p p i n g   m a p p i n g )         t h i s . d i s p a t c h e r . s e r v i c e A c t i o n ( r e q u e s t ,   r e s p o n s e ,   m a p p i n g ) ; } D i s p a t c h e r s e r v i c e A c t i o n r e q u e s t r e s p o n s e m a p p i n g
  对 象 ， 并 把     p u t 进 去 。 然 后 从     中 获 取   a c t i o n   对 应 的 命 名 空 间   、 请 求 的 a c t i o n 名   、 请 求 方 法   。 接 着 根 据 前 面 获 取 的 信 息 创 建 用 户 自 定 义 A c t i o n 的     对 象 。 C o n t e x t M a p O g n l V a l u e S t a c k m a p p i n g n a m e s p a c e n a m e m e t h o d A c t i o n P r o x y p u b l i c   v o i d   s e r v i c e A c t i o n ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   H t t p S e r v l e t R e s p o n s e   r e s p o n s e ,   A c t i o n M a p p i n g   m a p p i n g )         M a p < S t r i n g ,   O b j e c t >   e x t r a C o n t e x t   =   t h i s . c r e a t e C o n t e x t M a p ( r e q u e s t ,   r e s p o n s e ,   m a p p i n g ) ;         V a l u e S t a c k   s t a c k   =   ( V a l u e S t a c k ) r e q u e s t . g e t A t t r i b u t e ( " s t r u t s . v a l u e S t a c k " ) ;         b o o l e a n   n u l l S t a c k   =   s t a c k   = =   n u l l ;         i f   ( n u l l S t a c k )   {                 A c t i o n C o n t e x t   c t x   =   A c t i o n C o n t e x t . g e t C o n t e x t ( ) ;                 i f   ( c t x   ! =   n u l l )   {                         s t a c k   =   c t x . g e t V a l u e S t a c k ( ) ;                 }         }         i f   ( s t a c k   ! =   n u l l )   {                 e x t r a C o n t e x t . p u t ( " c o m . o p e n s y m p h o n y . x w o r k 2 . u t i l . V a l u e S t a c k . V a l u e S t a c k " ,   t h i s . v a l u e S t a c k F a c t o r y . c r e a t e V a l u e S t a c k         }         S t r i n g   t i m e r K e y   =   " H a n d l i n g   r e q u e s t   f r o m   D i s p a t c h e r " ;         t r y   {                 U t i l T i m e r S t a c k . p u s h ( t i m e r K e y ) ;                 S t r i n g   n a m e s p a c e   =   m a p p i n g . g e t N a m e s p a c e ( ) ;                 S t r i n g   n a m e   =   m a p p i n g . g e t N a m e ( ) ;                 S t r i n g   m e t h o d   =   m a p p i n g . g e t M e t h o d ( ) ;                 A c t i o n P r o x y   p r o x y   =   ( ( A c t i o n P r o x y F a c t o r y ) t h i s . g e t C o n t a i n e r ( ) . g e t I n s t a n c e ( A c t i o n P r o x y F a c t o r y . c l a s s ) ) .                 r e q u e s t . s e t A t t r i b u t e ( " s t r u t s . v a l u e S t a c k " ,   p r o x y . g e t I n v o c a t i o n ( ) . g e t S t a c k ( ) ) ;                 i f   ( m a p p i n g . g e t R e s u l t ( )   ! =   n u l l )   {                         R e s u l t   r e s u l t   =   m a p p i n g . g e t R e s u l t ( ) ;                         r e s u l t . e x e c u t e ( p r o x y . g e t I n v o c a t i o n ( ) ) ;                 }   e l s e   {                         p r o x y . e x e c u t e ( ) ;                 }             . . . . . . }
跟 进   的     方 法 ， 它 会 实 例 化 一 个     对 象 ， 后 面 会 通 过 它 的     来 正 式 执 行 一 系 列 的 拦 截 器 以 及 A c t i o n 。 最 后 又 调 用     ， 继 续 跟 进 。 然 后 会 实 例 化     对 象 并 返 回 ， 继 续 跟 进 其 构 造 方 法 。 这 里 会 调 用 父 类     的 构 造 方 法 ， 继 续 跟 进   的 构 造 方 法 会 把 传 入 的 参 数 赋 值 给 其 对 应 的 属 性 ， 在 赋 值     时 会 调 用   D e f a u l t A c t i o n P r o x y F a c t o r y c r e a t e A c t i o n P r o x y D e f a u l t A c t i o n I n v o c a t i o n i n v o k e t h i s . c r e a t e A c t i o n P r o x y S t r u t s A c t i o n P r o x y p u b l i c   A c t i o n P r o x y   c r e a t e A c t i o n P r o x y ( A c t i o n I n v o c a t i o n   i n v ,   S t r i n g   n a m e s p a c e ,   S t r i n g   a c t i o n N a m e ,   S t r i n g   m e t h o d N a m e         S t r u t s A c t i o n P r o x y   p r o x y   =   n e w   S t r u t s A c t i o n P r o x y ( i n v ,   n a m e s p a c e ,   a c t i o n N a m e ,   m e t h o d N a m e ,   e x e c u t e R e s u l t ,         t h i s . c o n t a i n e r . i n j e c t ( p r o x y ) ;         p r o x y . p r e p a r e ( ) ;         r e t u r n   p r o x y ; } D e f a u l t A c t i o n P r o x y p u b l i c   S t r u t s A c t i o n P r o x y ( A c t i o n I n v o c a t i o n   i n v ,   S t r i n g   n a m e s p a c e ,   S t r i n g   a c t i o n N a m e ,   S t r i n g   m e t h o d N a m e ,   b o o l e a n         s u p e r ( i n v ,   n a m e s p a c e ,   a c t i o n N a m e ,   m e t h o d N a m e ,   e x e c u t e R e s u l t ,   c l e a n u p C o n t e x t ) ; } D e f a u l t A c t i o n P r o x y m e t h o d N a m e S t r i n g E s c a p e U t i l s . e s c a p e H t m l 4
  和     进 行 过 滤 。 ： 转 义 / 反 转 义 j s 脚 本 ： 转 义 / 反 转 义 h t m l 脚 本 因 此 我 们 的 p a y l o a d 中 不 能 出 现     等 字 符 串 ， 因 此 对 于 字 符 串 参 数 的 传 入 需 要 使 用     从     中 获 取 。 最 终     对 象 返 回 并 执 行 其     方 法 。 然 后 执 行     ，   在 上 面 已 经 知 道 是   S t r i n g E s c a p e U t i l s . e s c a p e E c m a S c r i p t e s c a p e E c m a S c r i p t ( S t r i n g   i n p u t )   /   u n e s c a p e E c m a S c r i p t ( S t r i n g   i n p u t ) e s c a p e H t m l 4 ( S t r i n g   i n p u t )   /   u n e s c a p e H t m l 4 ( S t r i n g   i n p u t ) <   >   "   '   & # p a r a m e t e r s . 参 数 名 [ 0 ] O g n l V a l u e S t a c k S t r u t s A c t i o n P r o x y e x e c u t e ( ) t h i s . i n v o c a t i o n . i n v o k e ( ) ; t h i s . i n v o c a t i o n D e f a u l t A c t i o n I n v o c a t i o n
  对 象 ， 跟 进 。 该     方 法 会 执 行 一 系 列 的 拦 截 器 以 及 A c t i o n ， 直 接 跳 过 所 有 拦 截 器 的 执 行 步 入 执 行 A c t i o n 的 地 方 ， 跟 进 。 继 续 跟 进 可 以 看 到 这 里 有 一 个 对   p u b l i c   S t r i n g   e x e c u t e ( )   t h r o w s   E x c e p t i o n   {         A c t i o n C o n t e x t   p r e v i o u s   =   A c t i o n C o n t e x t . g e t C o n t e x t ( ) ;         A c t i o n C o n t e x t . s e t C o n t e x t ( t h i s . i n v o c a t i o n . g e t I n v o c a t i o n C o n t e x t ( ) ) ;         S t r i n g   v a r 2 ;         t r y   {             v a r 2   =   t h i s . i n v o c a t i o n . i n v o k e ( ) ;         }   f i n a l l y   {             i f   ( t h i s . c l e a n u p C o n t e x t )   {                 A c t i o n C o n t e x t . s e t C o n t e x t ( p r e v i o u s ) ;             }         }         r e t u r n   v a r 2 ; } i n v o k e p u b l i c   S t r i n g   i n v o k e A c t i o n O n l y ( )   t h r o w s   E x c e p t i o n   {         r e t u r n   t h i s . i n v o k e A c t i o n ( t h i s . g e t A c t i o n ( ) ,   t h i s . p r o x y . g e t C o n f i g ( ) ) ; }
  进 行     的 操 作 ， 而 我 们 的 p a y l o a d 后 会 拼 接 一 个   ， 因 此 我 们 的 p a y l o a d 后 面 要 加 一 个     来 防 止 报 错 。 最 终 执 行 我 们 的 p a y l o a d 为 什 么 低 版 本 不 行 呢 ？ 低 版 本 的   m e t h o d N a m e g e t V a l u e ( ) 1 ? # x x : # r e q u e s t . t o S t r i n g
方 法 中 不 会 对     值 做   O G N L   表 达 式 计 解 析 。 另 外 S t r u t s   2 . 3 . 2 0   的 配 置 文 件 中 新 增 加 了 黑 名 单 配 置   、   ， 用 来 严 格 验 证 排 除 一 些 不 安 全 的 对 象 类 型 。 c o m . o p e n s y m p h o n y . x w o r k 2 . D e f a u l t A c t i o n I n v o c a t i o n . i n v o k e A c t i o n ( ) m e t h o d N a m e s t r u t s . e x c l u d e d C l a s s e s e x c l u d e d P a c k a g e N a m e P a t t e r n s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理