美司法部起诉中国“网络攻击”，故事开头要从Struts漏洞说起

一、基本情况

当地时间2月10日，美国司法部宣布对中国军方的4名军人提起诉讼，理由是他们相互串谋侵入Equifax公司的计算机网络，并对这些计算机进行未经授权的访问，并窃取了大约1.45亿美国受害者的敏感个人身份信息。

Equifax公司是美国三大信用机构之一且资格最老，它囊括了全球超过8个亿的消费者和近9000万家企业的私密信息。美国信用分数在经济社会运行中应用广泛。因此，该事件对于Equifax公司而言影响巨大，Equifax的股价也下跌了超过30%，市值缩水约53亿。

美国司法部公布照片

Equifax公司被爆出其遭受网络攻击后，为安抚赔偿，Equifax公司出资7亿美金来平复受影响的群众，平均每个人可拿到$125至$250左右，还开通专用查询网站便于用户查询其个人信息是否被盗（https://eligibility.equifaxbreachsettlement.com/en/eligibility）。随后，Equifax公司请美著名网络安全公司FireEye旗下的曼迪昂特公司介入事件调查。曼迪昂特公司对于很多小伙伴们其实并不陌生，这个公司有话题啊。

二、起诉书分析

Equifax已经确认，黑客在2017年5月中旬和7月下旬入侵了他们的数据库系统，泄露信息包括姓名，社保号码，出生日期，地址等信息。分析Equifax数据泄露事件原因，其中重要一条就是Equifax未能修补已知的严重漏洞，使其系统面临145天的安全风险。

一直以来，“入侵者”究竟使用什么漏洞入侵了Equifax公司的网站，官方一直没有公布。不过美国司法部在其起诉书上倒是把入侵细节公布了出来，所以，一起来瞧一瞧这个故事的开头吧...

美司法部起诉书

上面划红线的地方是关键点，翻译过来的意思就是“入侵者使用了Apache Struts漏洞向Equifax公司的服务器上传了webshell”。对于这个表述，相信小伙伴们可以猜到，“入侵者”使用了Apache Struts远程代码执行漏洞。

三、Apache Struts漏洞分析

（一）漏洞确定

Struts2 是第二代基于MVC模型的java企业级web应用框架，一般使用Struts2框架的公司都是较为知名的大公司。Struts2持续曝出过多个RCE漏洞，这点也备受诟病。

在2017年，Apache Struts 2被曝存在远程命令执行漏洞，漏洞编号S2-045，CVE编号CVE-2017-5638，影响范围为Struts 2.3.5 – Struts 2.3.31 Struts 2.5 – Struts 2.5.10。该漏洞可使恶意访问者可通过远程命令注入执行，令系统执行恶意命令，导致被黑客入侵，从而威胁服务器安全，影响极大。结合Equifax公司遭受网络攻击的时间看（2017年5月），“入侵者”使用了S2-045漏洞成功在Equifax公司服务器中上传了Webshell，此后开启了更加广阔的内网渗透之路。

（二）漏洞利用

2017年爆出的Struts 2早已被复现了，网上也存在不少的分析资料，小伙伴们可以参考学习。这里主要推荐一款工具，那就是大名鼎鼎的K8 Struts 2利用工具。这款工具把2011年至2017年Struts 2漏洞全部汇聚起来，十分便于我们利用。

四、主要启示

（一）漏洞修复速度对于网络安全至关重要

天下武功，唯快不破。Equifax公司在本身就配有较强的安全力量，依然被S2-045漏洞打爆，说明Equifax公司没有在S2-045漏洞被曝出后，第一时间修复本公司的漏洞，才让“入侵者”有机可乘。漏洞响应速度应成为衡量公司网络安全的重要指标之一，甚至需要组建专业队伍专门负责。这应了祖宗一句老话：“落后就要挨打”。

（二）反制能力对于威慑网络攻击至关重要

在建设网络安全体系时，不仅要注重实时防御，让黑客无法入侵，还要注重对日志、痕迹、命令执行等记录工作。退一万步说，即使遭受入侵了，仍还可以把入侵者分析出来。就像美国这种超强的反制能力，也算是一种对攻击者的警告和威慑吧！

*本文原创作者：DD想上学了，本文属于FreeBuf原创奖励计划，未经许可禁止转载