搜索

[6794] 2020-06-26_Struts2漏洞系列之【S2-045】上传数据异常导致的OGNL表达式执行

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2020-06-26_Struts2漏洞系列之【S2-045】上传数据异常导致的OGNL表达式执行 S t r u t s 2 漏 洞 系 列 之 【 S 2 - 0 4 5 】 上 传 数 据 异 常 导 致 的 O G N L 表 达 式 执 行 E 安 全   2 0 2 0 - 0 6 - 2 6 以 下 文 章 来 源 于 安 恒 信 息 安 全 研 究 院   ， 作 者 P e n t e s 7 e a m S m i 1 e @ P e n t e s 7 e a m 漏 洞 信 息 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 4 5 S t r u t s 2 默 认 使 用     类 对 上 传 数 据 进 行 解 析 。 其 在 处 理     时 如 果 获 得 非 预 期 的 值 的 话 ， 将 会 抛 出 一 个 异 常 ， 在 此 异 常 的 处 理 中 会 对 错 误 信 息 进 行 O G N L 表 达 式 解 析 。 漏 洞 复 现 漏 洞 复 现 影 响 范 围 影 响 范 围 S t r u t s   2 . 3 . 5   -   2 . 3 . 3 1 ,   S t r u t s   2 . 5   -   2 . 5 . 1 0 漏 洞 分 析 漏 洞 分 析 S t r u t s   2 . 3 . 5   -   2 . 3 . 3 1 和 S t r u t s   2 . 5   -   2 . 5 . 1 0 漏 洞 入 口 不 同 前 者 调 用 栈 安 恒 信 息 安 全 研 究 院 安 恒 信 息 安 全 研 究 院   . 一 群 技 术 宅 o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . m u l t i p a r t . J a k a r t a M u l t i P a r t R e q u e s t C o n t e n t - T y p e
在 过 滤 器     的     方 法 中 下 断 点 ， 跟 进     ， 它 会 封 装     对 象 。 其 中 会 判 断     中 是 否 含 有 字 符 串     ， 如 果 有 则 实 例 化     对 象 ， 并 传 入 对 应 参 数 来 对 请 求 进 行 解 析 。 其 中     会 去 获 取 用 来 处 理 文 件 上 传 请 求 的 解 析 类 ， 默 认 是     。 我 们 可 以 通 过 配 置     属 性 来 指 定 不 同 的 解 析 类 。 o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . n g . f i l t e r . S t r u t s P r e p a r e A n d E x e c u t e F i l t e r d o f i l t e r t h i s . p r e p a r e . w r a p R e q u e s t ( r e q u e s t ) ; r e q u e s t c o n t e n t _ t y p e m u l t i p a r t / f o r m - d a t a M u l t i P a r t R e q u e s t W r a p p e r t h i s . g e t M u l t i P a r t R e q u e s t ( ) ; o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . m u l t i p a r t . J a k a r t a M u l t i P a r t R e q u e s t s t r u t s . m u l t i p a r t . p a r s e r
跟 进     ， 这 里 的     就 是 默 认 的     对 象 。 这 里 由 于 对 上 传 请 求 解 析 时 发 现 错 误 所 以 会 进 入 到 下 面 的     操 作 中 ， 跟 进   t h i s . m u l t i . p a r s e ( r e q u e s t ,   s a v e D i r ) ; t h i s . m u l t i J a k a r t a M u l t i P a r t R e q u e s t c a t c h t h i s . b u i l d E r r o r M e s s a g e ( )
它 会 调 用     处 理 错 误 信 息 不 断 跟 进 会 发 现 他 会 把 m e s s a g e 传 入     进 行 表 达 式 解 析 。 后 面 就 还 是 以 前 的 流 程 了 。 而   S t r u t s   2 . 5   -   2 . 5 . 1 0 中     并 没 有 调 用   它 是 在 拦 截 器     中 调 用 的     从 而 对 错 误 信 息 进 行 O G N L 表 达 式 解 析 L o c a l i z e d T e x t U t i l . f i n d T e x t ( ) T e x t P a r s e U t i l . t r a n s l a t e V a r i a b l e s o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . m u l t i p a r t . M u l t i P a r t R e q u e s t W r a p p e r . b u i l d E r r o r M e s s a g e L o c a l i z e d T e x t U t i l . f i n d T e x t F i l e U p l o a d I n t e r c e p t o r L o c a l i z e d T e x t U t i l . f i n d T e x t ( e r r o r . g e t C l a z z ( ) ,   e r r o r . g e t T e x t K e y ( ) ,   A c t i o n C o n t e x t . g e t C o n t e x t ( ) . g e t L o c a l e ( ) ,   e r r o r . g e t D e f a u l t M e s s a g e ( ) ,   e r r o r . g e t A r g s ( ) ) ;
在 2 . 3 . 3 0 / 2 . 5 . 2 之 后 的 版 本 ， 我 们 可 以 用 来 b y p a s s 黑 名 单 过 滤 的     和     都 进 入 到 了 黑 名 单 中 。 不 过 个 人 认 为 沙 盒 修 复 的 关 键 是 O g n l 3 . 0 . 1 8 + 和 O g n l 3 . 1 . 1 0 + 中     删 除 了     这 个 k e y ， 从 而 禁 止 了 对     的 访 问 。 S t r u t s 2 . 3 . 3 0 开 始 使 用 的 是 O g n l 3 . 0 . 1 9 ， S t r u t s 2 . 5 . 2 开 始 使 用 的 是 O g n l 3 . 1 . 1 0 。 从 S 2 - 0 4 5 的 p a y l o a d 中 也 能 看 出 来 ， 直 接 可 以 执 行   _ m e m b e r A c c e s s D e f a u l t M e m b e r A c c e s s O g n l C o n t e x t _ m e m b e r A c c e s s _ m e m b e r A c c e s s ( # d m = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S )
  ， 后 面 才 开 始 查 看 是 否 存 在   。 在 初 始 化 了     对 象 后 ， 会 对     对 象 进 行 依 赖 注 入 。 这 个 时 候 会 调 用     将 黑 名 单 添 加 进 来 赋 值 给     的     对 象 这 里 需 要 注 意 的 是 由 于     默 认 为   ( # d m = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S ) # _ m e m b e r A c c e s s % { ( # f u c k = ' m u l t i p a r t / f o r m - d a t a ' ) . ( # d m = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S ) . ( # _ m e m b e r A c c e s s ? ( # _ m e m b e r A c c e s s = # d m ) : ( ( # c o n t a i n e r = # c o n t e x t [ ' c o m . o p e n s y m p h o n y . x w o r k 2 . A c t i o n C o n t e x t . c o n t a i n e r ' O g n l V a l u e S t a c k O g n l V a l u e S t a c k c o m . o p e n s y m p h o n y . x w o r k 2 . o g n l . O g n l V a l u e S t a c k $ s e t O g n l U t i l O g n l V a l u e S t a c k s e c u r i t y M e m b e r A c c e s s O g n l U t i l s i n g l e t o n
  单 例 模 式 ， 因 此 全 局 的     实 例 都 共 享 着 相 同 的 设 置 。 如 果 利 用     更 改 了 设 置 项 （     ） 则 同 样 会 更 改     中 的 值 。 为 什 么 改 了     的 值 以 后     的 值 也 会 改 变 呢 ？ 首 先 上 面 说 过 了 全 局 的     实 例 都 共 享 着 相 同 的 设 置 。 然 后 因 为     类 的     等 属 性 都 是 集 合 类 型 而 在 j a v a 中 集 合 赋 值 时 传 递 的 是 一 个 引 用 ， 我 们 对 集 合 做 的 任 何 操 作 都 会 影 响 到 它 赋 值 过 的 变 量 。 所 以 在 解 析 O g n l 表 达 式 时 ， 当     的     等 安 全 属 性 被 清 空 时 ，   对 象 的   等 安 全 属 性 也 直 接 随 之 被 清 空 了 。 O g n l U t i l O g n l U t i l e x c l u d e d C l a s s e s 、 e x c l u d e d P a c k a g e N a m e s 、 e x c l u d e d P a c k a g e N a m e P a t t e r n s _ m e m b e r A c c e s s O g n l U t i l _ m e m b e r A c c e s s O g n l U t i l S e c u r i t y M e m b e r A c c e s s e x c l u d e d C l a s s e s O g n l U t i l e x c l u d e d C l a s s e s _ m e m b e r A c c e s s e x c l u d e d C l a s s e s
漏 洞 修 复 漏 洞 修 复 不 把 报 错 的 信 息 放 到     方 法 中 去 ， 从 而 保 证 报 错 的     不 会 进 行 O G N L 表 达 式 解 析 。 2 . 5 . 1 0 . 1 版 本 修 改 ： h t t p s : / / g i t h u b . c o m / a p a c h e / s t r u t s / c o m m i t / b 0 6 d d 5 0 a f 2 a 3 3 1 9 d d 8 9 6 b f 5 c 2 f 4 9 7 2 d 2 b 7 7 2 c f 2 b 2 . 3 . 3 2 版 本 修 改 ： h t t p s : / / g i t h u b . c o m / a p a c h e / s t r u t s / c o m m i t / 3 5 2 3 0 6 4 9 3 9 7 1 e 7 d 5 a 7 5 6 d 6 1 7 8 0 d 5 7 a 7 6 e b 1 f 5 1 9 a h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 8 4 5 G B 露 骨 照 片 在 线 暴 露 ！ 9 大 约 会 社 交 软 件 泄 露 数 十 万 用 户 隐 私 7 x 2 4 小 时 抵 挡 风 暴 ， 「 城 市 盾 」 做 智 慧 城 市 建 设 安 全 后 盾 S t r u t s 2 漏 洞 系 列 之 【 S 2 - 0 5 2 】 R E S T 插 件 远 程 执 行 命 令 漏 洞 所 有 i P h o n e 设 备 都 可 能 被 解 锁 ！ 黑 客 发 布 新 款 越 狱 软 件 “ U n c 0 v e r ” 征 集   |   2 0 2 0 世 界 信 息 安 全 大 会 议 题 征 集 全 面 开 启 ！ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ L o c a l i z e d T e x t U t i l . f i n d T e x t c o n t e n t - t y p e
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理