博客
关于我
S2-005 远程代码执行漏洞检测与利用
阅读量:172 次
发布时间:2019-02-28

本文共 1676 字,大约阅读时间需要 5 分钟。

漏洞信息

漏洞成因官方概述:XWork ParameterInterceptors bypass allows remote command execution


漏洞影响:


漏洞分析:

S2-005是由于官方在修补S2-003不全面导致绕过补丁造成的。我们都知道访问Ognl的上下文对象必须要使用#符号,S2-003对#号进行过滤,但是没有考虑到Unicode编码情况,导致\u0023或者8进制\43绕过。

S2-005则是绕过官方的安全配置(禁止静态方法调用和类方法执行),再次造成漏洞。


Payload如下:

http://www.xxxx.com/aaa.action?('\u0023_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('\u0023context['xwork.MethodAccessor.denyMethodExecution']\u003d\u0023foo')(\u0023foo\u003dnew%20java.lang.Boolean("false")))&(asdf)(('\u0023rt.exit(1)')(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1

将编码转换为以下三个步骤:

  • ?('#_memberAccess['allowStaticMethodAccess']')(meh)=true
  • &(aaa)(('#context['xwork.MethodAccessor.denyMethodExecution']=#foo')(#foo=new%20java.lang.Boolean("false")))
  • &(asdf)(('#rt.exit(1)')(#rt=@java.lang.Runtime@getRuntime()))=1

  • 第一步通过设置_memberAccess变量中的allowStaticMethod为true,通过括号遵循Ognl语法树规则。第一步完成后,就可以执行静态方法了。

    第二步将上下文中的xwork.MethodAccessor.denyMethodExecution设置为false,允许方法执行。

    第三步是真正的攻击代码,通过调用Runtime类的静态方法获取Runtime对象并执行关闭服务器的代码。


    深入分析:

    为什么提交这个攻击URL就能使服务器down掉?仅仅看这三句不要以为就懂了,要理解其中的奥妙,必须要阅读源码。

    服务器接收到请求后会读取web.xml文件,里面有个过滤器叫StrutsPrepareAndExecuteFilter。然后这个过滤器执行完之后,就可以执行我们的Action了。

    StrutsPrepareAndExecuteFilter执行完之后,会执行Struts2默认拦截器栈defaultStack。拦截器栈的结构如下:

  • params拦截器:处理URL中的参数,将参数作为键值对加入值栈。
  • Ognl拦截器:处理Ognl表达式。
  • params拦截器中的doIntecept()方法会将请求中的参数作为键值对加入值栈。Ognl解析引擎会按照规定的语法规则解析字符串并执行Ognl表达式。


    Ognl的解析:

    为什么\u0023形式的POC能够被解析?

    OgnlUtil.setValue方法会将\u0023转换为#,从而绕过了过滤。

    Ognl解析引擎会调用Ognl.parseExpression方法解析字符串,返回语法树。parseExpression方法会调用OgnlParser.topLevelExpression(),开始解析语法树。

    OgnlParser会读取字符,处理Unicode转义,解析表达式。


    漏洞检测与利用:

  • 检测:使用工具进行自动化扫描,寻找类似参数。
  • 命令执行:通过构造特定URL,验证漏洞是否存在。

  • 工具下载地址:请通过合法渠道获取。


    参考链接:(此处不提供具体链接)

    转载地址:http://krgc.baihongyu.com/

    你可能感兴趣的文章
    MySQL中使用IN()查询到底走不走索引?
    查看>>
    Mysql中使用存储过程插入decimal和时间数据递增的模拟数据
    查看>>
    MySql中关于geometry类型的数据_空的时候如何插入处理_需用null_空字符串插入会报错_Cannot get geometry object from dat---MySql工作笔记003
    查看>>
    mysql中出现Incorrect DECIMAL value: '0' for column '' at row -1错误解决方案
    查看>>
    mysql中出现Unit mysql.service could not be found 的解决方法
    查看>>
    mysql中出现update-alternatives: 错误: 候选项路径 /etc/mysql/mysql.cnf 不存在 dpkg: 处理软件包 mysql-server-8.0的解决方法(全)
    查看>>
    Mysql中各类锁的机制图文详细解析(全)
    查看>>
    MySQL中地理位置数据扩展geometry的使用心得
    查看>>
    Mysql中存储引擎简介、修改、查询、选择
    查看>>
    Mysql中存储过程、存储函数、自定义函数、变量、流程控制语句、光标/游标、定义条件和处理程序的使用示例
    查看>>
    mysql中实现rownum,对结果进行排序
    查看>>
    mysql中对于数据库的基本操作
    查看>>
    Mysql中常用函数的使用示例
    查看>>
    MySql中怎样使用case-when实现判断查询结果返回
    查看>>
    Mysql中怎样使用update更新某列的数据减去指定值
    查看>>
    Mysql中怎样设置指定ip远程访问连接
    查看>>
    mysql中数据表的基本操作很难嘛,由这个实验来带你从头走一遍
    查看>>
    Mysql中文乱码问题完美解决方案
    查看>>
    mysql中的 +号 和 CONCAT(str1,str2,...)
    查看>>
    Mysql中的 IFNULL 函数的详解
    查看>>