快捷搜索:  网络  渗透  后门  CVE  扫描  木马  黑客  as

当代版荆轲刺秦王:Struts2 REST插件漏洞(S2-052、S2-056)阐发

*

0×00 风萧萧兮易水寒,壮士一去兮不复还

战国末期,大秦气力强大,大有横扫六合之势,在灭了韩、赵两国后,下一个目标就是燕国。

燕国不愿束手就擒,企业黑客,燕太子丹决定派人行刺秦王。

这名勇(bei)敢(cui)的军人,名鸣荆轲。

为了能接近秦王,太子丹让荆轲带上两样秦王需要的宝物:秦叛将樊於期的头颅、燕国督亢的地图。而行刺秦王的匕首,就塞在卷着的地图的最内里。

秦王知道燕国已唾手可得,这时辰燕国又派人来献礼,至关自得,便在咸阳宫接见。

荆轲起首关上装有樊於期头颅的盒子,秦王见状大悦,拍手鸣好。

紧接着,镇(jin)定(zhang)的荆轲慢慢关上装有地图的盒子,然后徐徐取出地图,捧给秦王。

在秦王眼前,荆轲一点一点放开卷着的地图,铺到绝头时,银光一现,露出一把匕首!

荆轲见匕首露现,连忙操起身伙,左手捉住秦王衣袖,右手举起匕首便刺,嘴里还大吼一句三字咒语。。。

然而,秦王保镖可不是省油的灯,后来剧情大反转,荆轲刺秦王不成,为国捐躯了。

1.png

0×01 当代荆轲刺秦

第二天,秦王稳定感情以后,赶紧调集安全大会,总结出两要点:

一、安全过滤;匕首居然能进入秦国中央朝堂,应该配置金属过滤安装,如许免于匕首这种凶器能直接威胁秦王。

2、安全维护;秦王一帧一帧慢慢赏识地图,看到最后竟然是把匕首,幸好身边的保镖不是白养的,及时维护秦王人身安全,记一大功。

近来闹得沸沸扬扬的Struts2 REST插件安全漏洞攻击,跟荆轲刺秦实际上是同样的套路:

网络信息:寻觅存在漏洞的URL,以便接近攻击主机(探问秦王需要的器械,以便接近秦王)

预备武器:恶意Payload躲在数据包内(凶器匕首躲在地图内)

提议进攻:Payload反序列化后执行恶意代码(图穷匕见)

虽是同样套路,古代荆轲刺秦失败了,但当代的Struts2 REST插件安全漏洞攻击却让人措手不迭,究其缘故起因,也是安全过滤、维护机制没能做好。

一、安全过滤:Struts2 REST插件没有对传入的数据进行安全检查,导致恶意数据可以直接传入到XStream里。

2、安全维护;XStream一字一字地解析XML数据并进行反序列化操作,效果竟是恶意代码,而此时并没有维护机制,导致主机被攻击。

0×02 摹拟攻击

S2-052、056都提到:漏洞发生于Apache Struts2的REST插件,当使用XStream组件对XML格式的数据包进行反序列化操作,且未对数据内容进行有用验证时,攻击者可通过提交恶意XML数据对应用进行遥程攻击。

接下来,根据提到的几个前提,搭建环境,通过摹拟攻击的方式体验实际攻击的场景。

全部摹拟攻击过程,可能笔墨看得不是很方便,因而录了个视频,但不知为何始终上传不了,想看的同伙可以在我的微信公众号《进击的大熊》,归复“S2”即可观看演示视频。

一、捏造机搭建环境

捏造机装置JDK、Tomcat、Struts2,相干版本信息以下(都可在各自官网下载):

操作体系 Ubuntu-12.04.5-64位、JDK 1.8-64位、Tomcat 8.5.30、Struts 2.5.12

JDK以及Tomcat的装置网上大把教程,注意版本以及跟操作体系匹配就行。

Struts 2下载实现后解压,把app目录下的struts2-rest-showcase.war放到tomcat的webapp目录即可。

2.png

2、启动tomcat,查看IP地址

3.png

三、使用工具,生成Payload

工具是大神Moritz Bechler写的,源码地址为:https://github.com/mbechler/marshalsec,下载下来以后:

a、maven编译 mvn clean package -DskipTests(条件是已装置并设置好Maven)

b、生成Payload(恶意代码是执行”计算机”程序),详细操作:

在生成的target目录,执行:java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.XStream ImageIO ”xcalc” > payload.txt

c、生成的payload.txt即为包含恶意代码的XML数据

至于payload内里的XML数据组织道理,详细可以参照大神Moritz Bechler写的PDF(https://github.com/mbechler/marshalsec/blob/master/marshalsec.pdf)

惭愧,小弟还没能掌握住其道理,但用用照样可以的。

4.png

四、截包篡改数据

阅读器走访 http://192.168.213.129:8080/struts2-rest-showcase

关上神器BurpSuite,设置好代办署理,点击随意一个View,截包。在

http头加上:Content-Type:application/xml  ,和3生成的Payload

5.png

五、靶机执行恶意代码,弹出计算机

6.png

六、DOS攻击

为了完成S2-056提到的DOS攻击,写了个python源码,发了N个关上计算机的恶意包,效果导致我那可怜的捏造机直接奔溃。。。(源码下载链接见文章末尾,仅供学习)

7.png

0×03 跟踪阐发

摹拟攻击以后,能直观地感触感染到漏洞的严重性,然则仅云云是不够的。好奇心驱策之下,继续探索造成漏洞的缘故起因。因而,接下来将直接调试源码,从发送恶意代码最先,跟踪全部过程。

一、下载并导入源码

下载得到官方源码包struts2-rest-showcase-2.5.12.war,并通过eclipse导入到工程中,File—>Import—->war file

在官网上下载并关联好相干的源码,以便跟踪调试,譬如struts2-rest-plugin-2.5.12.jar、xstream-1.4.8.jar、xpp3_min-1.1.4c-sources.jar等

2、漏洞来源

根据漏洞发现者Man Yue Mo的讲演(https://lgtm.com/blog/apache_struts_CVE-2017-9805),漏洞来源于ContentTypeHandler接口。

8.png

三、突破口设断点

在源码搜索ContentTypeHandler,有两处发现:

a、XML诠释器:在struts-plugin.xml上发现:当content-type为XML时,将指定XStreamHandler,来完成ContentTypeHandler接口。

9.png

b、在org.apache.struts2.rest.ContentTypeInterceptor上发现症结代码:

ContentTypeHandler handler = selector.getHandlerForRequest(request); 

通过request数据获取执行要领,结合上面的发现,应该就是XStreamHandler

在代码下面还可以看到 handler.toObject(reader, target);  对得到的xml数据进行反序列化操作。

为了完成跟踪,因而在这两个地方打断点,并重新调试“摹拟攻击”流程。

10.png

四、用BurpSuite截断发恶意payload以后,程序停在断点处,可以发现此时contentType就是payload设定的application/xml

11.png

五、紧接着,程序根据得到的contentType值,将handler赋为 XStreamHandler。值得注意的是,这里没有对传入的数据进行任何过滤操作,导致xml数据能传到后续的XStreamHandler

12.png

六、XStreamHanler.toObject使用了fromXML把XML转化为Java对象,详细通过unmarshal进行反序列化,调试过程发现unmarshal没有对数据进行安全检查,导致恶意代码终极执行

13.png

14.png

15.png

16.png

0×04 防护建议

一、受影响版本

Struts 2.1.1 – Struts 2.5.14.1

2、修复建议

Apache Struts官方已发布2.5.16新版本框架,并在此版本中针对该漏洞进行了安全防护。

建议使用了Apache Struts2 REST插件的用户排查自有框架是否受该漏洞影响,及时升级框架,并替代XML解析器为Jackson XML处理类JacksonXmlHandler。

P.S. Python-DOS测试源码文件下载:

链接:https://pan.baidu.com/s/1ZbgHBU3yPZZ–Z3q48qz8Q 暗码:zb4y

希翼这次的事故,能引起人人对信息安全的重视。

时刻切记安全无小事,防微杜渐是症结!

*

您可能还会对下面的文章感兴趣: