复现Struts2-048高危漏洞

这个漏洞开始已经是之前的事情了，今天有时间复现了一下。一般漏洞复现需要环境和exp，这次我们从搭建环境开始，不要去网上直接搞。

环境搭建

操作系统我们使用了Winxp，

大家都知道struts2是基于java的，首先我们需要java环境，具体就是jdk和jre的安装。具体网上都可以找到。最后有如下效果。

接下来需要下载tomcat，http://tomcat.apache.org/download-70.cgi 这里可以下载到。解压下载的zip，运行bin/startup.bat，tomcat就运行起来了。效果如下

接下来我们需要下载struts2，http://mirrors.opencas.org/apache/struts/2.3.32/struts-2.3.32-apps.zip

只要是2.3.*版本就可以，apps版本可以快速配置。将zip解压到tomcat的webapps目录下，运行tomcat，webapps下的war包就会自动解压。

访问http://192.168.198.129:8080/struts2-showcase/index.action 效果如下

访问http://192.168.198.129:8080/struts2-showcase/integration/editGangster.action

开启burp抓包，表单随便输入一点，提交。请求头如下

我们修改请求头，如下图

得到回显，已经命令执行了，如下图

具体的exp，poc可以通过github搜索，如下图

漏洞出在org.apache.struts2.s1.Struts1Action类的execute方法中，

首先这里ActionForward forward = action.execute(mapping, actionForm, request,

response);会把表单的请求处理回显给客户端，

然后addActionMessage(getText(msg.getKey(),Arrays.asList(msg.getValues())));

这里又调用了getText方法会把action messages传递给com.opensymphony.xwork2.util.LocalizedTextUtil.getDefaultMessage ，

最后在其中又调用了com.opensymphony.xwork2.util.TextParseUtil.translateVariables,它用来调用OGNL 表达式用处理字符串表达式。漏洞利用OGNL表达式执行任意命令。

不启用struts2-struts1-plugin插件

建议升级到最新版本2.5.10.1

开发者通过使用resource keys替代将原始消息直接传递给ActionMessage的方式。如下所示

messages.add(“msg”, newActionMessage(“struts1.gangsterAdded”, gform.getName()));

一定不要使用如下的方式

messages.add(“msg”, newActionMessage(“Gangster ” + gform.getName() + ” was added”));

影响Apache Struts 2.3.x系列中启用了struts2-struts1-plugin插件的版本，某云的检测系统在1902个网站中只检查出8个

如果想要了解更多网络空间安全知识，请访问网络安全通，或者搜索 SecTown 。