Struts 2 漏洞利用
一、 Struts 2 是什么
1. Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。Struts 2是Struts的下一代产品，是在 struts 1和WebWork的技术基础上进行了合并的全新的Struts 2框架。其全新的Struts 2的体系结构与Struts 1的体系结构差别巨大。Struts 2以WebWork为核心，采用拦截器的机制来处理用户的请求，这样的设计也使得业务逻辑控制器能够与ServletAPI完全脱离开，所以Struts 2可以理解为WebWork的更新产品。虽然从Struts 1到Struts 2有着太大的变化，但是相对于WebWork，Struts 2的变化很小。
2.FilterDispatcher是整个Struts2的调度中心。也就是MVC中的C（控制中心），依据ActionMapper的结果来决定是否处理请求，假设ActionMapper指出该URL应该被Struts2处理。那么它将会运行Action处理，并停止过滤器链上还没有运行的过滤器。
3.ActionMapper 会推断这个请求是否应该被Struts2处理，假设须要Struts2处理。ActionMapper会返回一个对象来描写叙述请求相应的ActionInvocation的信息。
4.ActionProxy。它会创建一个ActionInvocation实例，位于Action和xwork之间，使得我们在将来有机会引入很多其它的实现方式。比方通过WebService来实现等。
5.ConfigurationManager是xwork配置的管理中心，能够把它看做struts.xml这个配置文件在内存中的相应。
6.struts.xml，是开发人员必须光顾的地方。是Stuts2的应用配置文件，负责诸如URL与Action之间映射关系的配置、以及运行后页面跳转的Result配置等。
7.ActionInvocation：真正调用并运行Action，它拥有一个Action实例和这个Action所依赖的拦截器实例。ActionInvocation会依照指定的顺序去运行这些拦截器、Action以及相应的Result。
Interceptor(拦截器)：是Struts2的基石。类似于JavaWeb的Filter，拦截器是一些无状态的类。拦截器能够自己主动拦截Action，它们给开发人员提供了在Action运行之前或Result运行之后来运行一些功能代码的机会。
8.Action：用来处理请求，封装数据。
二、 Struts漏洞汇总
S2-001 - 远程代码利用表单验证错误
S2-002 - <s：url>和<s：a>标签之间的跨站点脚本（XSS）漏洞
S2-003 - XWork ParameterInterceptors bypass允许执行OGNL语句
S2-004 - 提供静态内容时的目录遍历漏洞
S2-005 - XWork ParameterInterceptors bypass允许远程命令执行
S2-006 - XWork中的多个跨站脚本（XSS）生成的错误页面
S2-007 - 当有转换错误时，用户输入被评估为OGNL表达式
S2-008 - Struts2中的多个关键漏洞
S2-009 - ParameterInterceptor漏洞允许远程命令执行
S2-010 - 当使用Struts 2令牌机制进行CSRF保护时，可能会通过滥用已知的会话属性来绕过令牌检查
S2-011 - 长请求参数名称可能会显着提升DOS攻击的有效性
S2-012 - 展示应用程序漏洞允许远程命令执行
S2-013 - 存在于URL和Anchor Tag的includeParams属性中的漏洞允许远程执行命令
S2-014 - 通过强制将参数包含在URL和锚定标签中引入的漏洞允许远程命令执行，会话访问和操作以及XSS攻击
S2-015 - 由通配符匹配机制引入的漏洞或OGNL Expression的双重评估允许远程命令执行。
S2-016 - 通过操作前缀为“action：”/“redirect：”/“redirectAction：”的参数引入的漏洞允许远程命令执行
S2-017 - 通过操作前缀“redirect：”/“redirectAction：”的参数引入的漏洞允许打开重定向
S2-018 - Apache Struts2中的访问控制漏洞破坏
S2-019 - 默认情况下禁用动态方法调用
S2-020 - 将Commons FileUpload升级到版本1.3.1（避免DoS攻击），并添加'class'以排除ParametersInterceptor中的参数（避免使用ClassLoader操作）
S2-021 - 改进ParametersInterceptor和CookieInterceptor中的排除参数，以避免ClassLoader操作
S2-022 - 在CookieInterceptor中扩展排除的参数，以避免对Struts的内部操作
S2-023 - 令牌的生成值可以预测
S2-024 - 错误的excludeParams会覆盖DefaultExcludedPatternsChecker中定义的值
S2-025 - 调试模式和暴露的JSP文件中的跨站点脚本漏洞
S2-026 - 特殊顶部对象可用于访问Struts的内部
S2-027 - TextParseUtil.translateVariables不会过滤恶意OGNL表达式
S2-028 - 使用具有破坏的URLDecoder实现的JRE可能会导致基于Struts 2的Web应用程序中的XSS漏洞。
S2-029 - 强制双OGNL评估，当对标签属性中的原始用户输入进行评估时，可能导致远程执行代码。
S2-030 - I18NInterceptor中可能的XSS漏洞
S2-031 - XSLTResult可用于解析任意样式表
S2-032 - 启用动态方法调用时，可以通过方法：前缀执行远程执行代码。
S2-033 - 使用REST插件时可以执行远程执行代码！启动动态方法调用时运算符。
S2-034 - OGNL缓存中毒可能导致DoS漏洞
S2-035 - 动作名称清理容易出错
S2-036 - 强制双OGNL评估，当对标签属性的原始用户输入进行评估时，可能导致远程代码执行（类似于S2-029）
S2-037 - 使用REST插件时可以执行远程执行代码。
S2-038 - 可以绕过令牌验证并执行CSRF攻击
S2-039 - Getter作为动作方法导致安全绕开
S2-040 - 使用现有的默认操作方法输入验证旁路。
S2-041 - 使用URLValidator时可能发生DoS攻击
S2-042 - 在“公约”插件中可能的路径遍历
S2-043 - 在生产中使用Config Browser插件
S2-044 - 使用URLValidator时可能的DoS攻击
S2-045 - 基于Jakarta Multipart解析器执行文件上传时可能的远程执行代码。
S2-046 - 基于Jakarta Multipart解析器执行文件上传时可能的RCE（类似于S2-045）
S2-047 - 使用URLValidator时可能发生DoS攻击（类似于S2-044）
S2-048 - Struts 2.3.x系列中的Struts 1插件示例中Struts Showcase应用程序中可能的RCE
S2-049 - 适用于Spring 安全措施的DoS攻击
三、 漏洞实验
那么现在我还是那位逮吓户707，我随便找一个环境试一试，那么我测试的是S2-045版本漏洞，Apache Struts 2被曝存在远程命令执行漏洞，漏洞编号S2-045，CVE编号CVE-2017-5638，在使用基于Jakarta插件的文件上传功能时，有可能存在远程命令执行，导致系统被黑客入侵。
恶意用户可在上传文件时通过修改HTTP请求头中的Content-Type值来触发该漏洞，进而执行系统命令。
1. hai tu.. 我们不瞎扯了，继续
操作机：Windows
目标机：Liunx
工具：K8 Struts2
这个漏洞是我上几个星期发现的，由于权限过低无法进行提权，所以…逮虾户..
2. 然后需要用到验证工具进行一个验证，那么我这里有一款神器，可批量验证多种Ste版本漏洞，那么我是验证过了所以用不上这个工具，先跳过。
3. 我们进行命令执行，whoami（图1），www权限 可写，不慌既然这样了，我们就看下端口啥的（图2）。
图1
图2
图3
四、 总结
那么总体过是可以用工具完成这个提权，其实了这个漏洞是挺难遇见，那么我给各位大锅奉上，分析案例，利用案列，大锅门，用膳啦！
关于Apache Struts2 S2-057远程代码执行漏洞分析
https://www.freebuf.com/vuls/182101.html
关于struts2漏洞（升级struts到最新版本)
https://blog.csdn.net/qq_34128089/article/details/80804882
struts2漏洞原理
https://www.cnblogs.com/KevinGeorge/p/8285337.html
逮虾户！！！！！！！
发表评论