Struts2 漏洞 再起风云
laoyan 2016-06-15 16:32:40
分 享

struts2简介


Struts2 是全球使用最广泛的Java Web 服务端框架之一。Struts2 是 Struts 的下一代产品,是在 Struts1 和 WebWork 的技术基础上进行了合并的全新的 Web 框架。


漏洞回顾


Struts2 官方于 4 月 20 日发布 S2-032 漏洞通告,4 月25 日下午 3 点 29 分,白帽子 menmen519 在 Wooyun 社区发布了利用 S2-032 远程代码执行漏洞向网站中写入Webshell 的 PoC。


此后的几个小时内,漏洞利用的命令行工具、批量检测脚本、图形化工具、在线检测工具等被迅速开发出来,漏洞得到空前的重视。乌云、补天等漏洞提交平台都被此漏洞刷屏。


从目前来看漏洞利用工具和 EXP 来看,该漏洞的危害主要体现在命令执行和任意文件上传,利用方式如下(以下代码仅供学习交流之用,因此造成的不良后果请自负):

Struts1.png


漏洞影响                                                


截止到 2016 年 4 月 28 日 18:30,依然有大量用户未对漏洞进行修复。威胁中心数据显示,受本次漏洞影响大量存在漏洞的网站处于关闭修复状态。接下来将从行业影响、地域影响、威胁拦截情况,来感受一下本次漏洞带来的影响与危害。


首先,从行业影响来看,自 4 月 26 漏洞爆发以来,该漏洞对金融、证券行业影响较大。经过2天的漏洞修复,截止到 2016年 4 月 28 日 18:30,从威胁数据中心显示金融、证券行业漏洞修复率很高,但目前政府、教育行业漏洞修复率依然较差。数据显示 S2-032 漏洞对政府行业影响较大,比例为 33.33%,详细数据统计分布如下图。

Struts2.png


其次,从地域影响来看,经过 2 天的漏洞修复,截止到 2016 年 4 月 28 日 18:30,从威胁数据中心显示来看广东、北京地域漏洞存在漏洞的网站比例依旧很高,详细数据统计分布如下图。

Struts3.png


最后,从深信服威胁云中心实时捕获的 Struts2 漏洞拦截数据来看,从 4 月 26 日早上开始短短数小时,已有多个版本漏洞利用工具或攻击代码在互联网流传,分为命令执行版本与直接写入 Web 后门的版本。近 24 小时内利用此漏洞的网络攻击状况如下图所示:

Struts4.png


受 S2-032 漏洞的影响,利用 S2-016 漏洞的攻击也比平时有爆发式的增长。


从图中可以看出,27 日 21 点左右和 28 日的 5 点左右,分别是漏洞 S2-016 和漏洞 S2-032 的利用小高峰。这说明一些自动化漏洞利用和检测工具在夜间不停地对 S2-016 和 S2-032 进行批量扫描。


漏洞工具风险影藏发现                              


S2-032 漏洞工具隐藏巨大风险,漏洞工具在互联网网站快速传播、泛滥使用无形间给本次安全事件雪上加霜。


首先,互联网上下载的漏洞工具不仅仅是对漏洞验测(PoC),而且在验测的过程利用漏洞自动化上传 Webshell、木马等。未知安全工具对漏洞验测给黑客上传了 Webshell、木马提供了温床。因此,可以肯定的是存在 S2-032 漏洞的网站被上传 Webshell、木马后,即使对网站进行了修补,安全威胁依然存在,因此这里建议存在风险的网站要对网站的后门、木马、Webshell进行二次排查,杜绝隐患。

Struts5.png


其次,部分漏洞利用工具含有木马,部分安全人员在使用未知的安全工具过程中,不小心就会中了木马。提醒网站管理员之后,轮到白帽子们多加注意了,小伙伴们最喜欢的《Struts2 漏洞利用工具 2016 版》工具就被绑定了木马。

转载至:深信服社区

我要小额支持下

取消

感谢您的支持,我会继续努力的!

扫码支持
扫码打赏,你说多少就多少

打开支付宝扫一扫,即可进行扫码打赏哦

取消
吐槽一下

游客

所有吐槽
  • 暂时还没有吐槽,赶紧来吐槽!