搜索

[12492] 2018-03-21_熟悉的Str2-045，不一样的认识

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-03-21_熟悉的Str2-045，不一样的认识 熟 悉 的 S t r 2 - 0 4 5 ， 不 一 样 的 认 识 T o p S c r e w   F r e e B u f   2 0 1 8 - 0 3 - 2 1 * 本 文 原 创 作 者 ： T o p S c r e w ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 x 0 1   前 言 前 言 S t r u t s 2 漏 洞 频 发 的 漏 洞 频 发 的 J a v a 主 流 框 架 ， 在 利 用 大 佬 们 的 主 流 框 架 ， 在 利 用 大 佬 们 的 p o c 或 者 工 具 时 ， 我 们 又 是 否 知 道 这 个 漏 洞 到 底 谁 怎 么 产 生 或 者 工 具 时 ， 我 们 又 是 否 知 道 这 个 漏 洞 到 底 谁 怎 么 产 生 的 ， 那 么 一 大 串 的 的 ， 那 么 一 大 串 的 P O C 到 底 是 什 么 意 思 ？ 准 备 从 漏 洞 的 调 用 链 ， 到 到 底 是 什 么 意 思 ？ 准 备 从 漏 洞 的 调 用 链 ， 到 B y p a s s 安 全 管 理 器 到 安 全 管 理 器 到 P O C 的 拆 分 理 解 。 的 拆 分 理 解 。 0 x 0 2 漏 洞 概 述 ： 漏 洞 概 述 ： ( 说 点 废 话 ) S t r u t s 是 A p a c h e 基 金 会 的 一 个 开 源 项 目 , S t r u t s 框 架 广 泛 应 用 于 政 府 、 公 安 、 交 通 、 金 融 行 业 和 运 营 商 的 网 站 建 设 ， 是 应 用 最 广 泛 的 W e b 应 用 框 架 之 一 。 漏 洞 编 号 漏 洞 编 号 ： C V E - 2 0 1 7 - 5 6 3 8 漏 洞 全 称 漏 洞 全 称 ： 基 于 J a k a r t a 插 件 的 插 件 的 S t r u t s 远 程 代 码 执 行 漏 洞 描 述 描 述 ： S t r u t s 使 用 的 J a k a r t a 解 析 文 件 上 传 请 求 包 不 当 ， 当 攻 击 者 使 用 恶 意 的 C o n t e n t - T y p e ， 会 导 致 远 程 命 令 执 行 。 利 用 条 件 利 用 条 件 ： S t r u t s   2 . 3 . 5   –   S t r u t s   2 . 3 . 3 1   S t r u t s   2 . 5   –   S t r u t s   2 . 5 . 1 0 默 认 模 块 J a k a r t a 中 需 要 依 赖 c o m m o n s - f i l e u p l o a d 和 c o m m o n s - i o 0 x 0 3 分 析 概 述 ： 分 析 概 述 ： 首 先 先 从 简 单 的 漏 洞 描 述 开 始 分 析 ： 描 述 中 说 道 是 因 为 J a k a r t a 插 件 文 件 请 求 包 不 当 导 致 的 远 程 命 令 执 行 ， 那 是 不 是 这 个 漏 洞 非 常 的 鸡 肋 鸡 肋 ， 需 要 依 赖 于 第 三 方 j a r 包 ， 才 可 以 攻 击 成 功 。 其 实 不 是 的 , 因 为 s t r u t s 2 - c r o e - 2 . 3 . 2 0 . j a r 中 s t r u t s - d e f a u l t . x m l 中 指 定 默 认 的 处 理 m u l t i p a r t 报 文 的 解 析 器 是 j a k a r t a 所 以 一 般 只 要 是 S t r u t s 2 涉 及 到 文 件 上 传 ， 就 定 会 有 j a k a r t a 插 件 ， 而 j a k a r t a 插 件 又 依 赖 于 依 赖 c o m m o n s - f i l e u p l o a d 和 c o m m o n s - i o 两 个 第 三 方 j a r 包 。 为 什 么 说 是 一 般 呢 ， 程 序 员 可 以 将 默 认 的 上 传 插 件 在 S t r 2 的 配 置 文 件 改 掉 。 但 是 我 想 使 用 S t r 2 框 架 写 项 目 的 这 样 做 的 程 序 员 并 不 多 。 所 以 只 要 符 合 S t r 2 影 响 版 本 ， 可 以 不 考 虑 第 三 方 j a r 和 插 件 的 原 因 ，   直 接 远 程 命 令 执 行 。 相 信 不 需 要 什 么 太 多 的 环 境 依 赖 和 限 制 条 件 ， 直 接 可 以 R C E 。 在 当 时 影 响 多 大 就 不 在 絮 叨 了 。 0 x 0 4 动 态 调 用 分 析 ： 动 态 调 用 分 析 ： 首 先 S t r 2 框 架 写 的 所 有 的 请 求 会 被 S t r u t s P r e p a r e A n d E x e c u t e F i l t e r 的 过 滤 器 给 拦 截 做 处 理
跟 进 S t r u t s P r e p a r e A n d E x e c u t e F i l t e r ， w r a p R e q u e s t 对 r e q u e s t 进 行 了 封 装 继 续 跟 进 ， 发 现 会 对 C o n t e n t T y p e 进 行 判 断 ， 看 是 否 包 含 m u l t i p a r t / f o r m - d a t a 字 段 ， 包 含 就 继 续 ， 不 包 含 就 G , 这 就 是 说 为 什 么 网 上 流 传 的 那 些 p o c 为 什 么 都 需 要 构 造 m u l t i p a r t / f o r m - d a t a 字 段 。 跟 进 g e t M u l t i P a r t R e q u e s t 发 现 通 过 M u l t P a r t R e q u e s . c l a s s 的 类 类 型 ， 来 获 取 M u l t P a r t R e q u e s 实 例 而 M u l t i P a r t R e q u e s t 又 由 J a k a r t a M u l t i P a r t R e q u e s t 类 来 实 现 ， 也 就 是 咱 们 刚 开 始 唠 的 这 个 依 赖 J a k a r t a 插 件 的 漏 洞 到 底 鸡 肋 不 鸡 肋 。 再 一 次 得 到 了 验 证 。 接 着 交 给 依 赖 包 f i l e i p l o a d 进 行 解 析 ， 首 先 会 判 断 c o n t e n t T y p e 是 否 为 空 ， 如 果 不 为 空 再 判 断 是 否 是 M U L T I P A R T 开 头 如 果 不 是 就 报 I n v a l i d C o n t e n t T y p e E x c e p t i o n 的 异 常 。 这 就 证 明 了 为 啥 流 传 的 p o c 的 m u l t i p a r t / f o r m - d a t a 字 段 前 面 或 多 或 少 的 老 有 一 些 没 有 任 何 联 系 的 任 意 字 符 。 放 发 生 异 常 后 ， 又 会 返 回 到 J a k a r t a M u l t i P a r t R e q u e s t 类 的 p a r s e 方 法 对 异 常 进 行 处 理 。 看 一 看 有 两 异 常 ， 第 一 个 文 件 过 大 异 常 ， 和 除 文 件 过 大 外 的 其 它 异 常 。 当 发 生 异 常 后 他 们 都 会 进 入 一 个 神 奇 的 方 法 b u i l d E r r o r M e s s a g e 。
而 b u i l d E r r o r M e s s a g e 方 法 里 又 存 在 一 个 L o c a l i z e d T e x t U t i l . f i n d T e x t 这 个 就 是 我 们 今 天 的 主 角 。 为 什 么 这 么 说 呢 为 了 说 为 什 么 是 主 角 ， 拿 出 了 s t r u t s 2 - 2 . 3 . 3 2 也 就 是 官 方 修 复 后 不 存 在 漏 洞 的 版 本 。 也 就 是 下 图 。 发 现 官 方 的 修 复 方 案 就 是 对 L o c a l i z e d T e x t U t i l . f i n d T e x t 进 行 了 处 理 。 我 们 看 看 到 底 有 什 么 猫 腻 被 处 理 的 F i n d T e x t 方 法 中 ， 有 一 个 重 要 的 参 数 也 就 是 e . g e t M e s s a g e , 里 边 存 了 异 常 信 息 和 咱 们 恶 意 的 构 造 的 C o n t e n t T y p e 。 最 后 会 把 C o n t e n t T y p e 中 的 o n g l 语 句 去 解 析 执 行 。 所 以 官 方 不 再 把 e . g e t M e s s a g e 作 为 而 L o c a l i z e d T e x t U t i l . f i n d T e x t 的 d e f a t u l M e s s a g e 参 数 而 是 作 为 a r g s 参 数 传 入 。 再 次 跟 进 F i n d T e x t 方 法 ， g e t D e f a u l t M e s s a g e g e t D e f a u l t M e s s a g e 方 法 ， 而 g e t D e f a u l t M e s s a g e 方 法 又 调 用 了 b u i l d M e s s a g e F o r m a t 方 法
跟 进 b u i l d M e s s a g e F o r m a t 方 法 参 数 中 的 T e x t P a r s e U t i l . t r a n s l a t e V a r i a b l e s , e x p r e s s i o n 中 携 带 了 恶 意 的 C o n t e n t T y p e 参 数 。 再 次 跟 进 最 终 由 T e x t P a r s e U t i l 类 的 e v a l u a t e 方 法 对 o n g l 语 句 进 行 了 解 析 。 0 x 0 5 B y p a s s   安 全 管 理 器 安 全 管 理 器 既 然 知 道 了 漏 洞 触 发 点 构 造 o n g l 语 句 是 不 是 就 可 以 直 接 远 程 命 令 执 行 了 ？ 当 然 还 是 不 能 ， 因 为 S t r u t s 2 自 己 的 安 全 管 理 器 ， 对 非 法 字 符 进 行 了 黑 名 单 校 验 。 像 我 们 要 想 执 行 命 令 的 R u n t i m e   ， S y s t e m ， C l a s s l o d e r 的 危 险 类 全 部 禁 止 掉 了 ， 那 我 们 怎 么 去 执 行 系 统 命 令 。 _ m e m b e r A c c e s s 是 O g n l C o n t e x t 中 的 一 个 属 性 ， 这 是 一 个 权 限 类 S e c u r i t y M e m b e r A c c e s s 继 承 了 D e f a u l t M e m b e r A c c e s s 。 其 中 的 i s C l a s s E x c l u d e d 就 是 循 环 的 判 断 是 否 。
而 p o c 中 的 % { # _ m e m b e r A c c e s s = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S 就 是 利 用 父 类 D e f a u l t M e m b e r A c c e s s 对 象 覆 盖 S e c u r i t y M e m b e r A c c e s s 对 象 ， 从 而 达 到 绕 过 S e c u r i t y M e m b e r A c c e s s 的 限 制 。 既 然 分 析 的 差 不 多 了 那 就 看 看 怎 么 构 造 p o c 去 攻 击 吧 。 0 x 0 6 P O C 分 析 ： 分 析 ： 最 简 单 的 p o c ， 其 实 下 面 这 一 段 完 全 就 可 以 进 行 命 令 执 行 了 。 而 流 传 的 那 些 复 杂 的 一 大 串 p o c 就 是 为 了 回 显 ， 辨 别 操 作 系 统 类 型 ， 减 少 B u g … . . 去 更 加 的 人 性 化 。 成 熟 成 熟 p o c 这 就 是 网 上 一 直 流 传 的 有 回 显 的 p o c , 看 见 这 么 一 长 串 的 p o c 是 不 是 瞬 间 很 蒙 蔽 ， 还 是 o n g l 语 句 。 P O C 拆 分 ： 拆 分 ： 客 观 莫 荒 咱 们 把 他 拆 分 来 看 ， 即 使 不 懂 o n g l 语 句 ， 也 可 以 把 他 当 成 j a v a 来 看 。 用 来 构 造 上 传 验 证 ， 即 使 是 G E T 请 求 也 可 以 进 行 攻 击 。 清 空 访 问 限 制 清 空 访 问 限 制 ， 重 启 后 才 恢 复 判 断 操 操 作 系 统 的 类 型 ， 执 行 相 应 的 系 统 命 令
回 显 ， 也 就 是 想 办 法 获 得 容 器 的 r e s p o n s e 来 将 命 令 结 果 复 制 到 返 回 值 ， 完 成 回 显 0 x 0 7   总 结 ： 总 结 ： 其 实 本 篇 文 章 就 是 给 一 些 喜 欢 J a v a , 但 是 又 不 懂 漏 洞 的 产 生 原 因 和 p o c 到 底 怎 么 来 的 同 学 们 分 享 一 下 自 己 对 S t r 2 - 0 4 5 的 理 解 。 当 然 有 可 能 又 的 地 方 分 析 的 不 太 准 确 或 者 错 误 ， 毕 竟 刚 接 触 J a v a 不 久 也 不 是 做 开 发 的 ， 全 凭 兴 趣 和 好 奇 心 。 另 外 给 大 家 分 享 两 个 J a v a 反 编 译 小 工 具 j d - g u i 和 l u y t e n 。 学 习 J a v a 代 码 审 计 没 有 趁 手 的 工 具 怎 么 行 。 j d - g u i 用 起 来 结 构 非 常 清 爽 ， 但 是 有 着 致 命 的 缺 点 就 是 反 编 译 的 不 准 确 。 而 l u y t e n 结 构 一 壶 篇 ， 但 反 编 译 的 异 常 的 精 确 。 小 伙 伴 们 还 在 等 什 么 开 始 S t r 2 各 个 版 本 的 漏 洞 调 试 吧 ！ * 本 文 原 创 作 者 ： T o p S c r e w ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理