搜索

[21998] 2021-05-22_网络安全攻防：Web安全之命令执行漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2021-05-22_网络安全攻防：Web安全之命令执行漏洞 网 络 安 全 攻 防 ： W e b 安 全 之 命 令 执 行 漏 洞 L e m o n S e c   2 0 2 1 - 0 5 - 2 2 开 发 人 员 在 编 写 应 用 时 ， 尤 其 是 企 业 级 的 应 用 ， 需 要 调 用 一 些 执 行 系 统 命 令 的 函 数 ， 如 P H P 中 的 s y s t e m 、 e x e c 、 s h e l l _ e x e c 、 p a s s t h r u 、 p o p e n 、 p r o c _ p o p e n 等 。 对 于 开 发 人 员 而 言 ， 使 用 这 些 函 数 可 以 方 便 去 除 系 统 的 特 殊 功 能 等 。 这 也 产 生 了 一 些 命 令 执 行 漏 洞 。 当 攻 击 者 在 渗 透 应 用 的 过 程 中 ， 意 外 控 制 了 这 些 函 数 中 的 参 数 时 ， 就 可 以 将 恶 意 系 统 代 码 拼 接 到 正 常 的 代 码 当 中 ， 从 而 造 成 系 统 命 令 执 行 攻 击 。 本 文 以 P H P 程 序 为 例 介 绍 命 令 执 行 漏 洞 。 1 .   P H P 命 令 执 行 漏 洞 命 令 执 行 漏 洞 P H P   是 一 门 脚 本 语 言 ， 其 优 点 简 洁 、 方 便 ， 但 是 伴 随 着 的 问 题 有 速 度 慢 、 无 法 接 触 到 系 统 底 层 等 。 所 以 在 编 写 应 用 程 序 的 过 程 中 ， 往 往 会 调 用 一 些 执 行 系 统 命 令 的 函 数 ， 而 这 也 是 造 成 命 令 执 行 漏 洞 的 条 件 之 一 。 攻 击 者 还 可 以 在 输 入 参 数 的 地 方 输 入 恶 意 代 码 拼 接 到 正 常 代 码 中 ， 这 就 是 开 发 人 员 的 代 码 过 滤 环 节 做 到 不 严 谨 导 致 的 。 下 面 我 们 通 过 实 例 来 介 绍 攻 击 的 形 成 。 首 先 在 本 机 上 搭 建 P H P 环 境 ， 然 后 编 写 一 段 P H P 文 件 如 下 ： < ? p h p S y s t e m ( $ _ G E T [ ‘ c m d ’ ] ) ; ? > 之 后 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / t e s t . p h p ? c m d = i p c o n f i g ， 如 图 1 所 示 。 图 1     访 问 结 果 1 可 以 看 到 输 入 的 命 令 在 系 统 中 执 行 了 。 继 续 测 试 ， 将 文 件 修 改 如 下 ： < ? p h p $ c m d = ( $ _ G E T [ ‘ c m d ’ ] ) ; S y s t e m ( “ p i n g   ” . $ c m d ) ;
? > 之 后 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / t e s t . p h p ? c m d = w w w . b a i d u . c o m ， 如 图 2 所 示 。 图 2     访 问 结 果 2 结 果 表 示 输 入 的 参 数 被 执 行 了 。 除 了 代 码 层 面 的 系 统 函 数 调 用 等 原 因 之 外 ， 造 成 系 统 命 令 执 行 的 还 有 系 统 本 身 的 漏 洞 造 成 的 命 令 执 行 ， 如 b a s h 破 壳 漏 洞 ； 还 有 调 用 第 三 方 组 件 存 在 的 代 码 执 行 漏 洞 ， 如 J a v a 的 S t r u t s 2 组 件 漏 洞 。 2 .   J a v a 的 的 S t r u t s 2 代 码 执 行 漏 洞 代 码 执 行 漏 洞 S t r u t s 2 是 全 球 使 用 最 广 泛 的 J a v a   W e b 服 务 端 框 架 之 一 。 S t r u t s 2 是 S t r u t s 的 下 一 代 产 品 ， 是 在 S t r u t s 1 和 W e b W o r k 的 技 术 基 础 上 进 行 了 合 并 的 全 新 的 S t r u t s 2 框 架 。 S t r u t s 2 于 2 0 1 6 年 4 月 2 0 日 官 方 发 布 S 2 - 0 3 2 漏 洞 通 告 ： S 2 - 0 3 2 远 程 代 码 执 行 漏 洞 ， 该 漏 洞 可 以 说 是 继 S 2 - 0 1 6 漏 洞 以 来 ， 影 响 最 大 的 S t r u t s   S 2 漏 洞 。 漏 洞 的 利 用 代 码 一 经 曝 光 就 在 安 全 圈 和 互 联 网 引 起 一 场 血 雨 腥 风 。 下 面 我 们 来 了 解 一 下 形 成 的 原 理 。 漏 洞 利 用 前 提 是 开 启 动 态 方 法 调 用 。 如 果 要 调 用 对 应 的   l o g i n   方 法 ， 可 以 通 过 h t t p : / / [ h o s t ] / i n d e x ! l o g i n . a c t i o n 来 动 态 调 用 。 这 种 动 态 方 法 调 用 的 时 候 ， m e t h o d 中 的 特 殊 字 符 都 会 被 替 换 成 空 ， 但 是 可 以 通 过   h t t p : / / l o c a l h o s t : 8 0 8 0 / s t r u t s 2 4 1 / i n d e x . a c t i o n ? m e t h o d : l o g i n   来 绕 过 无 法 传 入 特 殊 字 符 的 限 制 。 如 下 所 示 ： p r o t e c t e d   C o n t a i n e r   c o n t a i n e r ; p u b l i c   D e f a u l t A c t i o n M a p p e r ( ) { p r e f i x T r i e = n e w   P r e f i x T r i e ( ) { { p u t ( M E T H O D _ P R E F I X , n e w   P a r a m e t e r A c t i o n ( ) { p u b l i c   v o i d   e x e c u t e ( S t r i n g   k e y , A c t i o n M a p p i n g   m a p p i n g ) { i f ( a l l o w D y n a m i c M e t h o d C a l l s ) { m a p p i n g . s e t M e t h o d ( k e y . s u b s t r i n g ( M E T H O D _ P R E F I X . l e n g t h ( ) ) ) ; } } } ) ; } }
} 接 收 到 的 参 数 会 经 过 处 理 存 入 到   A c t i o n M a p p i n g   的   m e t h o d   属 性 中 。 D e f a u l t A c t i o n P r o x y   F a c t o r y 将 A c t i o n M a p p p i n g 的 m e t h o d 属 性 设 置 到 A c t i o n P r o x y 中 的 m e t h o d 属 性 ， 如 下 所 示 ： p r o t e c t e d   D e f a u l t A c t i o n P r o x y ( A c t i o n I n v o c a t i o n   i n v , S t r i n g   n a m e s p a c e , S t r i n g   a c t i o n N a m e , S t r i n g   m e t h o d N a m e , b o o l e a n   e x e c u t e R e s u l t , b o o l e a n c l e a n u p C o n t e x t ) { t h i s . i n v o c a t i o n = i n v ; t h i s . c l e a n u p C o n t e x t = c l e a n u p C o n t e x t ; i f ( L O G . i s D e b u g E n a b l e d ( ) ) { L O G . d e b u g ( " C r e a t i n g   a n   D e f a u l t A c t i o n P r o x y   f o r   n a m e s p a c e " + n a m e s p a c e + " a n d   a c t i o n   n a m e " + a c t i o n N a m e ) ; } t h i s . a c t i o n N a m e = S t r i n g E s c a p e U t i l s . e s c a p e H t m l 4 ( a c t i o n N a m e ) ; t h i s . n a m e s p a c e = n a m e s p a c e ; t h i s . e x e c u t e R e s u l t = e x e c u t e R e s u l t ; t h i s . m e t h o d = S t r i n g E s c a p e U t i l s . e s c a p e E c m a S c r i p t ( S t r i n g E s c a p e U t i l s . e s c a p e H t m l 4 ( m e t h o d N a m e ) ) ; } 而   D e f a u l t A c t i o n I n v o c a t i o n . j a v a   中 会 把   A c t i o n P r o x y   中 的   m e t h o d   属 性 取 出 来 放 入 到 o g n l U t i l . g e t V a l u e ( ) 方 法 中 执 行 O G N L 表 达 式 ， 如 下 ： p r o t e c t e d   S t r i n g   i n v o k e A c t i o n ( O b j e c t   a c t i o n , A c t i o n C o n f i g   a c t i o n C o n f i g ) t h r o w s   E x c e p t i o n   { S t r i n g   m e t h o d N a m e = p r o x y . g e t M e t h o d ( ) ; / / 获 得 要 执 行 的 方 法 名 。 L O G . d e b u g ( " E x e c u t i n g   a c t i o n   m e t h o d = { } " , m e t h o d N a m e ) ; S t r i n g   t i m e r K e y = " i n v o k e A c t i o n :   " + p r o x y . g e t A c t i o n N a m e ( ) ; t r y   { U t i l T i m e r S t a c k . p u s h ( t i m e r K e y ) ; O b j e c t   m e t h o d R e s u l t ; t r y   { m e t h o d R e s u l t = o g n l U t i l . c a l l M e t h o d ( m e t h o d N a m e + " ( ) " , g e t S t a c k ( ) . g e t C o n t e x t ( ) , a c t i o n ) ; / / 执 行 a c t i o n 类 实 例 }   c a t c h ( M e t h o d F a i l e d E x c e p t i o n   e ) { / / i f   r e a s o n   i s   m i s s i n g   m e t h o d ,   t r y   c h e c k i n g   U n k n o w n H a n d l e r s i f ( e . g e t R e a s o n ( ) i n s t a n c e o f   N o S u c h M e t h o d E x c e p t i o n ) { i f ( u n k n o w n H a n d l e r M a n a g e r . h a s U n k n o w n H a n d l e r s ( ) ) { t r y   { m e t h o d R e s u l t   =   u n k n o w n H a n d l e r M a n a g e r . h a n d l e U n k n o w n M e t h o d ( a c t i o n , m e t h o d N a m e ) ; }   c a t c h ( N o S u c h M e t h o d E x c e p t i o n   i g n o r e ) { / / t h r o w   t h e   o r i g i n a l   o n e
t h r o w   e ; } }   e l s e   { / / t h r o w   t h e   o r i g i n a l   o n e t h r o w   e ; } / / t h r o w   t h e   o r i g i n a l   e x c e p t i o n   a s   U n k n o w n H a n d l e r s   w e r e n ' t   a b l e   t o   h a n d l e   i n v o c a t i o n   a s   w e l l i f ( m e t h o d R e s u l t = = n u l l ) { t h r o w   e ; } 对 于 使 用   S t r u c t s 2   的 网 站 来 说 ， 只 需 要 关 闭 动 态 调 用 或 升 级 更 高 版 本 的   S t r u c t s 2   就 可 以 预 防 。 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理