搜索

[2088] 2018-08-24_Struts2-057CVE-2018-11776两个版本RCE漏洞分析（含EXP）

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2018-08-24_Struts2-057CVE-2018-11776两个版本RCE漏洞分析（含EXP） S t r u t s 2 - 0 5 7 / C V E - 2 0 1 8 - 1 1 7 7 6 两 个 版 本 R C E 漏 洞 分 析 （ 含 E X P ） I v a n   d o t N e t 安 全 研 究 僧   2 0 1 8 - 0 8 - 2 4 0 x 0 1   前 言 2 0 1 8 年 8 月 2 2 日 ， A p a c h e   S t r u s t 2 发 布 最 新 安 全 公 告 ， A p a c h e   S t r u t s 2 存 在 远 程 代 码 执 行 的 高 危 漏 洞 （ S 2 - 0 5 7 / C V E - 2 0 1 8 - 1 1 7 7 6 ） ， 该 漏 洞 由 S e m m l e   S e c u r i t y   R e s e a r c h   t e a m 的 安 全 研 究 员 M a n   Y u e M o 发 现 。 该 漏 洞 是 由 于 在 S t r u t s 2 开 发 框 架 中 使 用 n a m e s p a c e 功 能 定 义 X M L 配 置 时 ， n a m e s p a c e 值 未 被 设 置 且 在 上 层 动 作 配 置 （ A c t i o n   C o n f i g u r a t i o n ） 中 未 设 置 或 用 通 配 符 n a m e s p a c e ， 可 能 导 致 远 程 代 码 执 行 。 同 理 ， u r l 标 签 未 设 置 v a l u e 和 a c t i o n 值 且 上 层 动 作 未 设 置 或 用 通 配 符 n a m e s p a c e 时 也 可 能 导 致 远 程 代 码 执 行 ， 经 过 笔 者 自 建 环 境 成 功 复 现 漏 洞 且 可 以 执 行 命 令 回 显 ， 文 末 有 你 们 想 要 的   !   0 x 0 2   漏 洞 利 用 笔 者 搭 的 环 境 分 别 是 笔 者 搭 的 环 境 分 别 是 S t r u s t 2   2 . 3 . 2 0 版 本 和 版 本 和   S t r u s t 2   2 . 3 . 3 4 版 本 ， 漏 洞 利 用 大 致 分 为 三 种 方 式 ： 数 值 计 算 、 弹 出 计 算 器 、 版 本 ， 漏 洞 利 用 大 致 分 为 三 种 方 式 ： 数 值 计 算 、 弹 出 计 算 器 、   命 令 回 显 。 命 令 回 显 。   2 . 1 、 数 值 计 算 、 数 值 计 算 数 值 计 算 相 对 最 简 单 ， 在 U R L 上 指 定   % { 1 0 0 + 2 0 0 }   就 可 以 发 生 跳 转 ， 得 到 计 算 的 结 果 2 . 2 、 弹 出 计 算 器 、 弹 出 计 算 器 2 . 3 . 2 0 版 本 的 P O C 如 下 ：
2 . 3 . 3 4 版 本 参 考 的 P O C 如 下 ：
2 . 3 、 命 令 回 显 、 命 令 回 显 两 个 版 本 都 是 利 用 c o m . o p e n s y m p h o n y . x w o r k 2 . d i s p a t c h e r . H t t p S e r v l e t R e s p o n s e 对 象 去 打 印 命 令 执 行 后 的 回 显 数 据 2 . 3 . 2 0 版 本 的 P O C 如 下 ： 2 . 3 . 3 4 版 本 的 P O C 如 下 ： 攻 击 后 效 果 如 下 图
0 X 0 3   漏 洞 分 析 漏 洞 分 析 在 分 析 漏 洞 之 前 ， 需 要 配 置 s t r u t s . x m l 文 件 ， 这 个 文 件 就 是 s t r u t s 2 的 核 心 配 置 文 件 ， 大 多 数 的 时 候 增 减 配 置 都 需 要 操 控 这 里 ； 总 共 两 处 需 要 注 意 ， 第 一 处 一 定 要 配 置 s t r u t s . m a p p e r . a l w a y s S e l e c t F u l l N a m e s p a c e     =   t r u e   ， 否 则 不 能 触 发 漏 洞 ， 这 个 配 置 的 目 的 是 设 定 是 否 一 直 在 最 后 一 个 斜 线 之 前 的 任 何 位 置 选 定 N a m e S p a c e ； 第 二 处 r e s u l t 标 签 返 回 的 类 型 选 择   “   r e d i r e c t A c t i o n   或   c h a i n “   ,   只 有 这 两 个 配 置 选 项 的 值 是 可 以 将 a c t i o n 转 发 或 者 重 定 向 ； 关 于 t y p e 具 体 可 以 参 考 下 图
说 完 了 配 置 ， 开 始 动 态 分 析 。 漏 洞 位 于 s t r u t s 2 - c o r e . j a r ! / o r g / a p a c h e / s t r u t s 2 / d i s p a t c h e r / S e r v l e t A c t i o n R e d i r e c t R e s u l t . c l a s s t h i s . n a m e s p a c e 这 个 成 员 的 值 来 自 于 g e t N a m e s p a c e ( ) 方 法 ， 再 通 过 g e t U r i F r o m A c t i o n M a p p i n g ( ) 返 回 U R I 字 符 串 ； 通 过 g e t U r i F r o m A c t i o n M a p p i n g 获 取 的 值 赋 给 了 t m p L o c a t i o n 变 量 ， 接 着 表 达 式 进 入 s e t L o c a t i o n 方 法
再 通 过 s u p e r . e x e c u t e 方 法 调 用 了 S e r v l e t A c t i o n R e s u l t   ， 而 在 e x e c u t e 方 法 体 内 跟 进 了 c o n d i t i o n a l P a r s e 方 法 ， 在 这 个 方 法 内 调 用 了 O N G L 执 行 的 关 键 方 法 t r a n s l a t e V a r i a b l e s 。 获 得 的 p a r a m 值 传 入 到 t r a n s l a t e V a r i a b l e s ( ) 方 法 内 ， 最 终 在 O n g l T e x t P a s e r 里 导 致 了 O G N L 表 达 式 执 行 。
再 弹 出 计 算 器 后 获 得 l a s t F i n a l L o c a t i o n 的 值 为 当 前 执 行 后 的 句 柄 ， 这 个 值 作 为 响 应 跳 转 的 a c t i o n 地 址 ， 也 就 是 在 浏 览 器 中 弹 出 计 算 器 后 在 地 址 栏 中 出 现 的 U R I 到 这 里 弹 出 计 算 器 的 分 析 到 此 为 止 ， 接 下 来 看 下 基 于 命 令 执 行 回 显 结 果 的 分 析 ， 基 本 上 流 程 和 上 述 一 样 ， 唯 一 不 同 之 处 l a s t F i n a l L o c a t i o n 返 回 的 值 是 N U L L ， 这 也 就 引 发 出 提 交 后 没 有 做 3 0 2 的 跳 转 ， 依 旧 是 当 前 的 a c t i o n ， 并 且 返 回 的 值 是 2 0 0
知 道 了 原 理 后 小 同 事 用 p y t h o n 实 现 了 自 动 化 利 用 工 具 ， 此 工 具 用 途 仅 供 学 习 研 究 ； 0 x 0 4   防 御 措 施 防 御 措 施   1 .       将 框 架 版 本 升 级 到 官 方 最 新 版 本 ； 2 .       对 于 W e b 应 用 来 说 ， 尽 量 保 证 代 码 的 安 全 性 ； 3 .       对 于 I D S 规 则 层 面 来 说 ， 数 值 计 算 和 弹 计 算 器 返 回 的 状 态 码 都 是 3 0 2 ， 并 且 L o c a t i o n 跳 转 字 段 含 有 特 征 句 柄 字 符 串 ； 如 果 是 命 令 回 显 返 回 的 2 0 0 状 态 码 ， 且 有 命 令 结 果 输 出 ； 0 x 0 5   小 结 小 结   文 章 中 提 及 的 p y t h o n   E X P 下 载 地 址 ：   h t t p s : / / g i t h u b . c o m / I v a n 1 e e ；   0 x 0 6   参 考 链 接 参 考 链 接   h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 5 7 h t t p s : / / l g t m . c o m / b l o g / a p a c h e _ s t r u t s _ C V E - 2 0 1 8 - 1 1 7 7 6 h t t p s : / / b l o g . c s d n . n e t / m a d i s o n _ _ / a r t i c l e / d e t a i l s / 5 5 6 7 1 4 2 6
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理