搜索

[26545] 2020-12-14_内含POC丨漏洞复现之S2-061(CVE-2020-17530)

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-19
2020-12-14_内含POC丨漏洞复现之S2-061(CVE-2020-17530) 内 含 P O C 丨 漏 洞 复 现 之 S 2 - 0 6 1 ( C V E - 2 0 2 0 - 1 7 5 3 0 ) M 7 8 安 全 团 队   2 0 2 0 - 1 2 - 1 4 以 下 文 章 来 源 于 G c o w 安 全 团 队   ， 作 者 复 眼 小 组 漏 洞 复 现 之 漏 洞 复 现 之 S 2 - 0 6 1 ( C V E - 2 0 2 0 - 1 7 5 3 0 ) 漏 洞 描 述 漏 洞 描 述 本 次 漏 洞 是 对 漏 洞 修 复 后 的 绕 过 。 的 修 复 补 丁 仅 修 复 了 沙 盒 绕 过 ， 但 是 并 没 有 修 复 O G N L 表 达 式 的 执 行 。 但 是 在 最 新 版 本 版 本 中 O G N L 表 达 式 的 执 行 也 修 复 了 。 漏 洞 影 响 版 本 漏 洞 影 响 版 本 漏 洞 分 析 漏 洞 分 析 本 文 仅 是 对 进 行 复 现 ， 并 且 对 复 现 的 过 程 进 行 记 录 ， 具 体 的 分 析 思 路 可 以 参 考   安 恒 信 息 安 全 研 究 院 - S t r u t s 2   S 2 - 0 6 1 漏 洞 分 析 ( C V E - 2 0 2 0 - 1 7 5 3 0 ) S m i 1 e 师 傅 t q l   膜 了   呜 呜 呜 漏 洞 复 现 漏 洞 复 现 测 试 环 境 测 试 环 境 G c o w 安 全 团 队 安 全 团 队   . G c o w 是 当 前 国 内 为 数 不 多 的 民 间 网 络 信 息 安 全 研 究 团 队 之 一 。 本 着 “ 低 调 发 展 ， 自 信 创 新 ， 技 术 至 上 ” 理 念 ， 团 队 主 要 研 究 范 围 “ A P T 捕 获 分 析 、 渗 透 测 试 、 代 码 审 计 、 病 毒 样 本 分 析 、 R e d T e a m 、 红 蓝 对 抗 、 程 序 开 发 ” 1 . 本 文 为 G c o w 安 全 团 队 成 员 江 城 @ 复 眼 小 组 所 写 , 未 经 允 许 禁 止 转 载 2 . 本 文 中 的 p a y l o a d 切 勿 用 于 违 法 行 为   一 切 造 成 的 不 良 影 响   本 公 众 号 概 不 负 责 3 . 本 文 一 共 2 0 0 0 字   1 8 张 图   预 计 阅 读 时 间 7 分 钟 4 . 若 本 文 中 存 在 不 清 楚 或 者 错 误 的 地 方   欢 迎 各 位 师 傅 在 公 众 号 私 聊 中 指 出   感 激 不 尽 S 2 - 0 5 9 S 2 - 0 5 9 2 . 5 . 2 6 s t r u t s   2 . 0 . 0   -   s t r u t s   2 . 5 . 2 5 S 2 - 0 6 1
相 关 依 赖 包 相 关 依 赖 包 注 意 ， 搭 建 测 试 环 境 的 时 候 ， 除 了 下 载 s t r u t s 2 的 最 小 依 赖 包 ( ) 以 外 ， 本 次 的 环 境 ， 还 需 要 依 赖 同 版 本 包 下 的 ， 可 以 在 中 找 到 版 本 对 应 的 包 ， 后 续 会 说 明 为 什 么 一 定 需 要 这 个 包 。 2 . 3 . 3 相 关 依 赖 包 2 . 3 . 3 相 关 依 赖 包 2 . 5 . 2 5 相 关 依 赖 包 2 . 5 . 2 5 相 关 依 赖 包 复 现 思 路 简 略 说 明 （ 具 体 思 路 请 移 步 上 文 中 的 漏 洞 分 析 文 章 ） 复 现 思 路 简 略 说 明 （ 具 体 思 路 请 移 步 上 文 中 的 漏 洞 分 析 文 章 ） 1 . 首 先 找 到 s t r u t s 2 标 签 解 析 的 入 口 ， 也 是 我 们 本 次 漏 洞 D e b u g 跟 踪 的 重 点 。         I D E A   2 0 1 9 . 3 . 5         S t r u t s 2   2 . 5 . 2 6 / S t r u t s 2   2 . 3 . 3 3         A p a c h e - T o m c a t - 8 . 5 . 5 7 s t r u t s - 2 . x . x x - m i n - l i b . z i p c o m m o n s - c o l l e c t i o n s - x . x . j a r s t r u t s - 2 . x . x x - l i b . z i p
标 签 解 析 入 口 全 方 法 名 ： 这 里 是 标 签 解 析 的 开 始 方 法 ， 同 时 这 里 能 够 观 测 到 整 个 对 象 ， 也 是 我 们 开 始 寻 找 利 用 点 的 地 方 。 其 中 我 们 本 次 要 使 用 的 利 用 点 就 s t a c k 中 断 点 可 以 找 到 （ 这 一 步 在 前 面 的 思 路 分 析 中 可 以 找 到 ， 但 是 因 为 d e b u g 点 没 有 描 述 清 楚 ， 一 开 始 找 了 很 久 ， 最 后 在 查 阅 其 他 版 本 的 文 章 分 析 才 找 到 这 个 位 置 ） : o r g . a p a c h e . s t r u t s 2 . v i e w s . j s p . C o m p o n e n t T a g S u p p o r t # d o S t a r t T a g O g n l V a l u e S t a c k
O g n l V a l u e S t a c k 内 容 查 看 从 上 文 中 的 位 置 ， 我 们 可 以 得 到 获 取 这 个 对 象 的 获 取 调 用 链 ， 如 下 图 找 到   o r g . a p a c h e . t o m c a t . I n s t a n c e M a n a g e r
转 换 为 o g n l 表 达 式 后 如 下 ： 1 .   的 方 法 不 做 过 多 描 述 ， 借 用 分 析 文 章 中 的 一 张 图 ， 可 以 使 用 这 个 对 象 中 的 方 法 实 例 化 任 意 无 参 构 造 方 法 的 类 并 返 回 。 D e f a u l t I n s t a n c e M a n a g e r 的 n e w I n s t a n c e 方 法 1 . 创 建 对 象 ( 本 次 的 漏 洞 复 现 的 主 角 ， 同 时 这 个 包 就 在 中 ) # a p p l i c a t i o n . g e t ( ' o r g . a p a c h e . t o m c a t . I n s t a n c e M a n a g e r ' ) o r g . a p a c h e . c a t a l i n a . c o r e . D e f a u l t I n s t a n c e M a n a g e r n e w I n s t a n c e o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . B e a n M a p c o m m o n s - c o l l e c t i o n s - x . x . j a r
B e a n M a p 重 点 方 法 A P I 简 要 描 述 （ 若 想 看 详 细 方 法 分 析 ， 请 移 步 到 上 文 的 分 析 文 章 ） : 整 体 创 建 的 O g n l 表 达 式 （ 这 里 存 放 到 a p p l i c a t i o n 中 ， 方 便 多 次 请 求 使 用 ）               O b j e c t   g e t ( " x x x x " )                         实 际 相 当 于 调 用 内 部 对 象 的 g e t X x x , 比 如 g e t N a m e ( )               O b j e c t   p u t ( " x x x x " , O b j e c t )         实 际 相 当 于 调 用 内 部 对 象 的 , s e t X x x x , 比 如 s e t N a m e ( )               v o i d   s e t B e a n ( O b j e c t )                 重 新 设 置 内 部 对 象 ， 设 置 完 成 后 上 面 两 个 才 能 生 效               O b j e c t   g e t B e a n ( )                         获 取 内 部 对 象 ， 这 里 可 以 在 断 点 的 时 候 查 看 到 当 前 m a p 中 的 实 际 对 象 % { # a p p l i c a t i o n . m a p = # a p p l i c a t i o n . g e t ( ' o r g . a p a c h e . t o m c a t . I n s t a n c e M a n a g e r ' ) . n e w I n s t a n c e ( ' o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . B e a n M a p '
1 . 获 取 到 对 象   （ 实 际 就 是   、   等 m a p 对 象 中 的   ） 并 且 设 置 到 上 一 步 的 B e a n M a p 中 ， 用 于 绕 过 沙 盒 限 制 ， 进 行 内 部 方 法 调 用 。 v a l u e S t a c k 方 法 链 O g n l 表 达 式 代 码 1 . 使 用 3 和 4 同 样 的 原 理 ， 利 用   使 用   中 的   O g n l C o n t e x t # a t t r # r e q u e s t s t r u t s . v a l u e S t a c k % { # a p p l i c a t i o n . m a p . s e t B e a n ( # r e q u e s t . g e t ( ' s t r u t s . v a l u e S t a c k ' ) ) } B e a n M a p c o m . o p e n s y m p h o n y . x w o r k 2 . o g n l . O g n l V a l u e S t a c k g e t C o n t e x t
  方 法 间 接 获 取 到   , 并 且 重 新 设 置 到 一 个 新 的 B e a n M a p 中 。 O g n l V a l u e S t a c k 获 取 当 前 O g n l C o n t e x t 的 方 法 这 里 把 两 个 步 骤 的 O g n l 代 码 同 时 贴 出 来 1 . 使 用 上 面 的 原 理 ， 使 用 第 二 步 得 到 的 获 取 到 内 部 的 对 象 ， 在 设 置 到 新 的 B e a n M a p 中 ， 用 于 重 置 黑 名 单 g e t C o n t e x t O g n l C o n t e x t       #   注 意 ， 自 行 调 试 的 话 ， 需 要 分 两 次 执 行       % { # a p p l i c a t i o n . m a p 2 = # a p p l i c a t i o n . g e t ( ' o r g . a p a c h e . t o m c a t . I n s t a n c e M a n a g e r ' ) . n e w I n s t a n c e ( ' o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . B e a n M a p '       % { # a p p l i c a t i o n . m a p 2 . s e t B e a n ( # a p p l i c a t i o n . g e t ( ' m a p ' ) . g e t ( ' c o n t e x t ' ) ) } O g n l C o n t e x t c o m . o p e n s y m p h o n y . x w o r k 2 . o g n l . S e c u r i t y M e m b e r A c c e s s
O g n l C o n t e x t 获 取 S e c u r i t y M e m b e r A c c e s s 的 方 法 1 . 确 认 一 下 之 前 存 放 的 M a p 都 正 确 存 下 来 了 ， 不 然 岂 不 是 白 忙 活 ， 其 实 每 一 步 执 行 完 后 ， 都 可 以 查 看 一 次 ， 确 认 每 一 步 都 是 操 作 正 确 的 ， 这 里 我 就 一 次 过 了 。 断 点 确 认 前 面 设 置 的 数 据 ， 是 否 正 确 #   注 意 ， 自 行 调 试 的 话 ， 需 要 分 两 次 执 行 % { # a p p l i c a t i o n . m a p 3 = # a p p l i c a t i o n . g e t ( ' o r g . a p a c h e . t o m c a t . I n s t a n c e M a n a g e r ' ) . n e w I n s t a n c e ( ' o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . B e a n M a p ' % { # a p p l i c a t i o n . m a p 3 . s e t B e a n ( # a p p l i c a t i o n . g e t ( ' m a p 2 ' ) . g e t ( ' m e m b e r A c c e s s ' ) ) }
1 . 前 面 的 操 作 都 确 认 没 有 问 题 后 ， 就 可 以 调 用 方 法 重 置 黑 名 单 了 ， 主 要 A P I 为 和 , 如 下 图 设 置 黑 名 单 的 两 个 方 法 在 我 们 这 两 个 地 方 打 了 断 点 后 ， 我 们 请 求 下 面 或 者 前 面 的 o g n l 可 以 发 现 ， 在 每 次 收 到 请 求 的 时 候 ， 都 会 调 用 一 次 这 里 的 黑 名 单 赋 值 ， 也 就 是 说 ， 就 算 是 我 们 在 本 次 请 求 重 置 了 黑 名 单 ， 在 下 次 请 求 的 时 候 ， 黑 名 单 还 是 会 重 置 。 因 此 只 有 前 面 的 o g n l 可 以 持 久 化 存 储 ， 实 际 利 用 的 时 候 ， 必 须 要 在 一 个 请 求 中 进 行 命 令 执 行 。 下 文 还 会 有 一 个 存 放 在 中 的 p o c 。 初 次 请 求 赋 值 : c o m . o p e n s y m p h o n y . x w o r k 2 . o g n l . S e c u r i t y M e m b e r A c c e s s # s e t E x c l u d e d C l a s s e s c o m . o p e n s y m p h o n y . x w o r k 2 . o g n l . S e c u r i t y M e m b e r A c c e s s # s e t E x c l u d e d P a c k a g e N a m e s r e q u e s t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理