這是小弟寫的第一篇網文，文筆一般，請大家多包涵。近期發生了很多事，使我醒悟要回歸自我的同時，要作些改變，所以開始寫網文，且把這些網文分享至個人的微信公眾號（公眾號名：永記士多）和CSDN部落格（部落格賬號：rossrocket，暱稱：永記士多）。此微信公眾號和CSDN部落格現定位為：專門研究web應用的漏洞，效能，併發量，框架選擇等問題，技術涵蓋程式語言（java,php,python）、應用框架（sturts2,spring thinkphp,Laravel)、作業系統(主要是linux與windows)，資料庫（mysql,oracle,db2,redis,mongodb等)，web service(apache、nginx、lighttpd、tomcat、jboss、weblogic等）等等，力求不做人云亦云的技術人員，要實踐驗證真理，做web應用裡的“生活調查團”。

        下面是這一次的小研究：struts2-045漏洞分析。這個是近期比較嚴重涉及面比較廣的一個漏洞，但這不是最新的漏洞，因為就在我分析的當天，另一個重大漏洞（struts2-046漏洞）被通報這了。以下為大家探討，struts2-045漏洞是一個怎樣的漏洞？黑客是怎麼利用這個漏洞進行攻擊。

1. 漏洞概述

     首先看看該漏洞的相關通報：安恆資訊保安研究院WEBIN實驗室高階安全研究員nike.zheng發現著名J2EE框架——Struts2存在遠端程式碼執行的嚴重漏洞; 目前Struts2官方已經確認漏洞（漏洞編號S2-045，CVE編號：cve-2017-5638），並定級為高風險，影響版本範圍為Struts 2.3.5 – Struts 2.3.31和Struts 2.5 – Struts 2.5.10。Struts2作為老著名的老牌的mvc框架，這裡就不多說。這裡介紹一下其危險性。

1.1漏洞的危害性

        有些網站把此漏洞定性為“strut2史上最大的漏洞”。是不是最大的漏洞的，不好說，但其危害性是巨大的，這是毋庸置疑的，因為這個漏洞能允許黑客遠端程式碼執行，相當於整臺伺服器已託管給黑客，黑客可以利用此漏洞獲取web應用的源程式，修改web應用內容，獲取資料庫密碼並盜取資料庫資訊，更改系統程式碼，更改資料庫密碼等等。以下我們做個POC測試：

      （一）.檢視資料在庫的地址與密碼

      （1）先檢視當前目錄，從中我們可以知道使用tomcat的目錄，那麼就可以知道server.conf的：

      （2）能過指令碼可以查詢server.xml和jdbc.properties的路徑分別為： F:\tmp\Apache Software Foundation\apache-tomcat-7.0.76\conf 和F:\tmp\Apache Software Foundation\apache-tomcat-7.0.76\webapps\ROOT\WEB-INF\classes。 

（3）顯示jdbc.properties的內容，從而得到資料庫的地址與密碼：

        可以利用此漏洞修改任何的程式碼檔案，如我要更改首頁的頁面，要其顯示”Diaoyu Islands are Chinese”,可進行如下操作:

        在瀏覽器輸入地址http://192.168.10.170:8080/index，顯示下資訊表示修改成功：

1.2漏洞的條件

        此漏洞另一個危害性是其幾乎無條件性。只要使用了struts2框架的應用，所有的url請求都會被此漏洞利用，即使應用中沒有上傳功能或使用第三方外掛上傳檔案（如ueditor,kindeditor)也有此問題，除非修改了配置struts.multipart.parser為cos或pell。但這種情況非常少，因為大部分的struts2應用會使用apache的commons-fileupload為上傳檔案的解析器，而不配置struts.multipart.parser或配置為預設的jakarta，那麼大部分的應用都會存在此漏洞。

2. 原因分析

        這樣的漏洞，我一開始以為是struts2應用中存在呼叫cmd或shell的程式碼需被黑客利用，但經過分析，發現struts2程式碼中不存在runtime.exe()或ProcessBuilder.start() 等語句。後來經過我一輪的分析與派查，才發現此漏洞的本質是Ognl表示式注入，與SQL流入有異曲同式之秒。下面深入分析此漏洞的原因。

2.1 Ognl簡述

        既然此漏洞是一個Ognl漏洞，那麼先了解一下什麼是Ognl,是用來幹什麼的。先看看網上擷取的有關Ognl的描述。

        這段話我們只要知道兩點就行了：1.Ognl是個一個表示式語言。2.可以用來獲取和設定java物件的屬性。其實針對此次漏洞我們可以理解Ognl有以下功能：通一定語法組裝的字串，經解釋後，可以獲取物件屬性或呼叫物件的方式（與struts2標籤庫有點相似）。這是一個非常容給黑客攻擊的特性來的。

2.2 Strtuts2程式碼分析

    現在我們分析一下Struts2的在什麼情況下會呼叫Ognl表示式。下面的流程圖是程式碼執行的過程。

        針對此流程圖，作以下分析：

a. 對序號（1）的方法，StrutsPrepareAndExecuteFilter的doFilter方法是Struts2框架的入口。所有web請求都會執行此方法後進入相應的Action類呼叫相應的方法。

         b. 對序號（2）的方法，PrepareOperations的wrapRequest方法包裝出Struts2自己的request物件。

         c. 對序號（4）的判斷，此判斷為關鍵，下面的POC例項中的第一個表示式就是為了些判斷為真，而呼叫JakartaMultiPartRequest類。

          d. 對序號（6）的方法，調JakartaMultiPartRequest的parse方法對檔案解碼，而此方法捕獲序號（7）和序號（8）方法的異常，發現異常則呼叫序號（9）的方法。具體程式碼如下圖：

        e. 對序號（8）的方法，JakartaMultiPartRequest的parse方法是一定會丟擲異常的，因為這是POC程式碼裡HEADER的內容根本不是“multipart/form-data”編碼的，而是一段Ognl表示式。所以是一定會走到序號（9）的。

         f. 對序號（9）的方法，LocalizedTextUtil的findText是xwork框架上的工具庫方法。LocalizedTextUtil是xwork解決我們前端國際化問題的一個方案。其中findText是搜尋關鍵字的方法，裡面是一個複雜的演算法，但是其中有針對裡面的引數defautlMessage（e.getMessage()）呼叫了Ognl表示式解釋方法進行解釋，而此引數defautlMessage是就是前端Heaher裡的Content-typre的值。

         g. 對序號（16）的方法，OgnlTextParser的evaluate方法就是最終解釋Ognl表示式的語句。黑客就是向此處注入程式碼ProcessBuilder或Runtime的程式碼，從而呼叫cmd或shell命令，從而操制作業系統。

2.3 POC程式碼研究

           以下網上的一段POC程式碼裡的一段header內容，即使沒有Ognl基礎也很容易看懂。

         這個header內容只看Content-Type的內容，這Content-Type內容可以分為兩部分。第一部分不用多說只是為了本文中《2.2Strtuts2流程分析》的流程圖的序號（4）的判斷為真而已;第二部分就是Ognl注入的程式碼，就是黑客用來控制系統的程式碼，其實細看沒什麼大瞭解，大部人都可以看得懂，不需要學習Ognl。大家再看的模組（3），這就是執行cmd命令的地方，相當於在伺服器上執行了以下java程式碼：

2.修復方式

        官方的解決方法是：升級到Apache Struts 2.3.32或2.5.10.1版。我們看看升級包怎麼解決這個問題。其實很簡單，就是更改類JakartaMultiPartRequest的buildErrorMessage(Throwable e, Object[] args）方法，改變呼叫LocalizedTextUtil.findText的呼叫的方式。原有的呼叫方式如下：

         更改後的程式碼如下：

          方案比簡解決，當e.getMessage()(這個值就是前端Header裡Content-type內容)不作為而LocalizedTextUtil.findText的defatulMessage引數而是作為args引數傳入。

附錄1

POC測試境（不是效能問題，不列硬體資訊）

1.攻擊端

2.伺服器端

附錄2：

        相關知識

        1. ProcessBuilder的redirectErrorStream 屬性

        最初，此屬性為 false，意思是子程序的標準輸出和錯誤輸出被髮送給兩個獨立的流，這些流可以通過 Process.getInputStream() 和Process.getErrorStream() 方法來訪問。如果將值設定為 true，標準錯誤將與標準輸出合併。這使得關聯錯誤訊息和相應的輸出變得更容易。在此情況下，合併的資料可從 Process.getInputStream() 返回的流讀取，而從Process.getErrorStream() 返回的流讀取將直接到達檔案尾。

        2. STRUTS2中的OGNL