搜索

[6875] 2020-08-16_Struts2S2-059漏洞分析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2020-08-16_Struts2S2-059漏洞分析 S t r u t s 2   S 2 - 0 5 9   漏 洞 分 析 E 安 全   2 0 2 0 - 0 8 - 1 6 以 下 文 章 来 源 于 安 恒 信 息 安 全 研 究 院   ， 作 者 P e n t e s 7 e a m S m i 1 e @ P e n t e s 7 e a m 漏 洞 信 息 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 5 9 S t r u t s 2   会 对 某 些 标 签 属 性 ( 比 如   ， 其 他 属 性 有 待 寻 找 )   的 属 性 值 进 行 二 次 表 达 式 解 析 ， 因 此 当 这 些 标 签 属 性 中 使 用 了     且     的 值 用 户 可 控 时 ， 用 户 再 传 入 一 个     即 可 造 成 O G N L 表 达 式 执 行 。 漏 洞 复 现 漏 洞 复 现 本 次 漏 洞 复 现 使 用 的 是 S 2 - 0 4 5 时 搭 建 的 漏 洞 环 境 ， 不 同 环 境 可 能 需 要 使 用 不 同 的 p a y l o a d 绕 过 沙 盒 。 影 响 版 本 写 的 是 到     ， 但 是     之 后 的 沙 盒 依 然 没 有 公 开 绕 过 方 法 。 安 恒 信 息 安 全 研 究 院 安 恒 信 息 安 全 研 究 院   . 一 群 技 术 宅 i d % { x } x % { p a y l o a d } S t r u t s   2 . 5 . 2 0 2 . 5 . 1 6
影 响 范 围 影 响 范 围 S t r u t s   2 . 0 . 0   -   S t r u t s   2 . 5 . 2 0 漏 洞 分 析 漏 洞 分 析 调 用 栈
j s p 文 件 根 据 漏 洞 详 情 ， 可 以 知 道 问 题 出 现 在 标 签 解 析 时 ， 因 此 我 们 从   < % @   p a g e   c o n t e n t T y p e = " t e x t / h t m l ;   c h a r s e t = U T F - 8 " % > < % @   t a g l i b   p r e f i x = " s "   u r i = " / s t r u t s - t a g s " % > < h t m l > < h e a d >         < t i t l e > H e l l o   W o r l d < / t i t l e > < / h e a d > < b o d y > < s : a   i d = " % { p a y l o a d } " > t e s t u r l < / s : a > < / b o d y > < / h t m l > o r g . a p a c h e . s t r u t s 2 . v i e w s . j s p . C o m p o n e n t T a g S u p p o r t
  的     方 法 开 始 跟 进 ， 这 里 会 对 j s p 标 签 进 行 解 析 ， 标 签 不 同     对 应 的 标 签 对 象 也 不 同 ， 所 有 的 标 签 对 象 在     包 下 。 这 里 是     标 签 ， 对 应     。 跟 进     ， 也 就 是     的     方 法 ， 该 方 法 是 用 来 对 标 签 属 性 进 行 赋 值 的 。 不 同 的 标 签 赋 值 的 属 性 也 不 同 。 d o S t a r t T a g t h i s o r g . a p a c h e . s t r u t s 2 . v i e w s . j s p < s : a > o r g . a p a c h e . s t r u t s 2 . v i e w s . j s p . u i . A n c h o r T a g t h i s . p o p u l a t e P a r a m s ( ) A n c h o r T a g p o p u l a t e P a r a m s
父 类 和 子 类 赋 值 的 属 性 不 同 ， 存 在     方 法 的 子 类 标 签 都 会 调 用 父 类 的     方 法 ， 因 此 父 类 赋 值 的 是 通 用 的 标 签 属 性 ，   就 在 这 里 。 p o p u l a t e P a r a m s p o p u l a t e P a r a m s s e t I D
因 此 我 们 也 可 以 知 道     存 在     方 法 的 子 类 标 签 的 i d 属 性 都 受 影 响 。 o r g . a p a c h e . s t r u t s 2 . v i e w s . j s p . u i . A b s t r a c t U I T a g p o p u l a t e P a r a m s
跟 进   s e t I D
  ， 这 里 会 进 入   继 续 跟 进     , 看 到 了 熟 悉 的     。 前 提 需 要 开 启     功 能 ，   是 默 认 开 启 的 ， 以 及     需 要 返 回 t r u e 。   会 判 断 是 否 包 含   和   f i n d S t r i n g f i n d S t r i n g T e x t P a r s e U t i l . t r a n s l a t e V a r i a b l e s a l t S y n t a x a l t S y n t a x C o m p o n e n t U t i l s . c o n t a i n s E x p r e s s i o n C o m p o n e n t U t i l s . c o n t a i n s E x p r e s s i o n $ {
最 终 会 执 行 到     ， 低 版 本 在   ， 其 实 也 就 是 S 2 - 0 0 1 的 流 程 ， 这 里 不 过 多 解 释 ， 细 节 可 以 看 安 恒 信 息 安 全 研 究 院 公 众 号 之 前 的 S t r u t s 2 漏 洞 分 析 文 章 。 最 终 会 在 下 面 执 行 O G N L 表 达 式 解 析 ， 返 回 我 们 给     传 入 的 参 数   在 S 2 - 0 0 1 时 对 此 方 法 进 行 了 修 复 ， 加 了 一 个   } c o m . o p e n s y m p h o n y . x w o r k 2 . u t i l . O g n l T e x t P a r s e r # e v a l u a t e c o m . o p e n s y m p h o n y . x w o r k 2 . u t i l . T e x t P a r s e U t i l # t r a n s l a t e V a r i a b l e s a c t i o n % { 1 + 1 }
  参 数 来 限 制 递 归 解 析 的 次 数 ， 这 里 的     是 1 因 此 我 们 只 能 执 行 一 次 表 达 式 解 析 。 不 过 回 到     ， 跟 进     标 签 对 象 的     方 法 一 直 跟 到     ， 这 里 有 个     方 法 ， 该 方 法 应 该 是 对 属 性 值 中 的 表 达 式 进 行 解 析 的 。 m a x L o o p C o u n t m a x L o o p C o u n t d o S t a r t T a g a s t a r t o r g . a p a c h e . s t r u t s 2 . c o m p o n e n t s . C l o s i n g U I B e a n # s t a r t e v a l u a t e P a r a m s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理