AG公司云
Apache Struts2 远程代码执行误差（S2-048） 手艺剖析与防护计划
2017-07-09
综述
2017年7月7日 ，Apache Struts宣布最新的清静通告 ，Apache Struts 2.3.x的strus1插件保存远程代码执行的高危误差 ，误差编号为CVE-2017-9791（S2-048） 。攻击者可以结构恶意的字段值通过Struts2的Struts1的插件 ，远程执行代码 。
相关链接如下：
https://cwiki.apache.org/confluence/display/WW/S2-048
威胁影响
全球漫衍图
（数据来自AG公司科技威胁情报中心NTI）
海内漫衍图
（数据来自AG公司科技威胁情报中心NTI）
全球排行
（数据来自AG公司科技威胁情报中心NTI）
海内排行
（数据来自AG公司科技威胁情报中心NTI）
防护计划
官方解决计划
官方已经宣布了版本更新 ，建议用户升级到Struts 2.5.10.1版本 ，下载链接如下所示：
· https://github.com/apache/struts/releases/tag/STRUTS_2_5_10_1
· http://struts.apache.org/download.cgi
暂时修复计划
· 开发者通过使用资源挪用方法替换原始值转达方法给ActionMessage的方法 。 如下所示：
不要使用如下的方法：
· 在非须要的情形下禁用struts2-struts1-plugin插件 。将struts2-struts1-plugin-2.3.x.jar文件从 “/WEB-INF/lib”目录中移动到其他文件夹或者删除 。
手艺防护计划
AG公司科技检测计划
1) 若是您不清晰是否受此误差影响 ，公网资产可使用AG公司云紧迫误差在线检测 ，检测地点如下：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12
2) 内网资产可以使用AG公司科技的远程清静评估系统(RSAS V6 )或Web应用误差扫描系统（WVSS） 举行检测 。
· 远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsasDetail/v/vulweb
· Web应用误差扫描系统（WVSS）
http://update.nsfocus.com/update/listWvssDetail/v/6/t/plg
通过上述链接 ，升级至最新版本即可举行检测！
AG公司科技防护计划
使用AG公司科技防护类产品（IPS/IDS/NF/WAF）举行防护
· 入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
· 入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
· 下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
· Web应用防护系统（WAF）
http://update.nsfocus.com/update/wafIndex
通过上述链接 ，升级至最新版本即可举行防护！
AG公司科技服务计划
AG公司科技提供专业的清静手艺服务 ，全方位的包管客户应用系统清静 ，阻止受此误差影响 。
· 短期服务：我们可以提供应急服务 ，服务内容包括对客户应用系统有针对性的提供修复建议 ，包管客户系统的清静升级 。
· 中恒久服务：团结AG公司科技检测与防护产品 ，提供7*24的清静运营服务 ，在客户应用系统遭到清静威胁时第一时间通知客户 ，并按期举行清静检测 ，针对清静危害提供专业的解决计划 。
手艺剖析
误差简介
Apache Struts2.3.x系列版本中struts2-struts1-plugin保存远程代码执行误差 ，进而导致恣意代码执行 。
误差剖析
官方的误差形貌如下：
从官方的误差形貌可以知道 ，这个误差实质上是在struts2-struts1-plugin这个jar包上 。这个库是将struts1的action封装成struts2的action以便在strut2上使用 。本诘责题出在struts2-struts1-plugin包Struts1Action.java文件中 ，Struts1Action类中的execute要领挪用了getText函数 ，这个函数会执行ognl表达式 ，更为严重的是getText的输入内容是攻击者可控的 。以下会基于struts2的官方示例举行剖析 。
Struts1Action的execute要领代码如下 ，从红框中信息可以看出着实质是挪用SaveGangsterAction.execute要领 ，然后再挪用getText(msg.getKey()….) 。
在struts2-showcase的integration�？橄掠蠸aveGangsterAction类的execute要领（位于SaveGangsterAction.java文件）用于实现 。详细如下：
在这个要领中就带入有毒参数gforn.getName()放到了messages结构中 ，gform.getName()的值是从客户端获取的 。
Gangsterform.getName()的实现如下：
这里传入了${1+1} ，有毒参数已经带入 ，就差ognl表达式 ，继续回到Struts1Action类的execute要领下半部分 ，有getText()的入口 ，能清晰看到参数已经被污染 ，详细如下图：
下面进入getText的实现函数 ，这个挪用栈较量深 ，首先我们给出栈图：
从Struts1action.execute函数最先 ，到ActionSupport的getText()要领 ，要领如下：
进入TextProviderSuppport.getText ，挪用其另一个重载类要领getText()示例如下：
进入LocalizeTextUtil.findText ，继续剖析着实现：从名字上也能看出其是凭证用户的设置做一些外地化的操作 。代码如下：
到这里就能发明这就是一个很典范的ognl表达式入口 ，先是获得一个valueStack ，再继续递归获得ognl表达式的值 。官方参考链接：
https://struts.apache.org/maven/struts2-core/apidocs/com/opensymphony/xwork2/util/LocalizedTextUtil.html
最后附上一个简朴的测试用例图：
