Apache Struts
Apache Struts 의 Jakarta Multipart parser 에 있는 RCE 취약점 (CVE-2017-5638, POC) HTTP 헤더 중 Content-Type 에 악성 실행코드를 넣고 이를 실행할 수 있는 취약점입니다. 현재 툴을 이용한 활발한 공격이 이뤄지고 있습니다.
TrendMicro 는 Apache Strcuts 취약점 공격 툴에 관한 보고서를 작성했습니다. 여기서 언급한 툴의 해쉬는 4674D39C5DD6D96DFB9FF1CF1388CE69 입니다.
TrendMicro 의 과거 분석내용
이 툴을 통해 RCE 가 가능한 여러 취약점을 확인할 수 있습니다. 대상 CVE 넘버는 다음과 같습니다.
툴을 통해 확인할 수 있는 취약점
- S2-016 (CVE-2013-2251)
- S2-013 (CVE-2013-1966)
- S2-009 (CVE-2011-3923)
- S2-005 (CVE-2010-1870)
툴을 통해 어떤 명령어를 공격대상 서버에서 실행할지 설정할 수 있습니다. 툴에서 기본 제공하는 명령어 목록은 다음과 같습니다.
기본제공 명령어
| 명령어 | 대상OS | 설명 |
|---|---|---|
| whoami | WinOS/Linux | 현재계정확인 |
| id | Linux | 사용자 ID 정보 출력 |
| netstat -an | WinOS/Linux | 네트워크 정보출력 |
| dir | WinOS/Linux | |
| ls | Linux | |
| ipconfig | WinOS | |
| ifconfig | Linux | |
| net user | WinOS | 사용자 계정정보 출력 |
| net user k8team k8team!@#? /add | WinOS | 사용자 추가 |
| systeminfo | WinOS | 로컬 시스템정보 출력 |
| uname -r | Linux | OS 릴리즈 넘버 출력 |
| uname -a | Linux | 전체 시스템 정보 출력 |
| lsb_release -a | Linux | LSB 배포정보출력(?) |
신버전
동일한 공격툴이 업데이트 되어 CVE-2017-5638 또한 지원하는것을 확인했습니다. 추가적으로 지난 업데이트를 통해 더욱 많은 취약점진단을 지원합니다. 목록은 다음과 같습니다.
- S2-045 CVE-2017-5638 支持执行CMD命令
- devMode CVE-xxxx-xxxx 支持GetShell/获取物理路径/执行CMD命令
- S2-037 CVE-2016-4438 支持GetShell/获取物理路径/执行CMD命令
- S2-032 CVE-2016-3081 支持GetShell/获取物理路径/执行CMD命令
- S2-020 CVE-2014-0094 支持GetShell (此洞特殊,EXP集成在飞刀)
- S2-019 CVE-2013-4316 支持GetShell/获取物理路径/执行CMD命令
- S2-016 CVE-2013-2251 支持GetShell/获取物理路径/执行CMD命令
- S2-013 CVE-2013-1966 支持GetShell/获取物理路径/执行CMD命令
- S2-009 CVE-2011-3923 支持GetShell/获取物理路径/执行CMD命令
- S2-005 CVE-2010-1870 支持GetShell/获取物理路径/执行CMD命令/列文件目录
해쉬는 91cd60578229d9d3e096dc90043880bc 이나, 잦은 업데이트로 인해 언제든 링크가 깨지거나 해쉬가 바뀔 수 있습니다. 비밀번호는 k8team 입니다. 이 글은 테스트를 통해 IPS 패턴 추출에 도움이 되고자 하는 것으로, 툴을 악용하여 벌어지는 어떠한 일에 대해서도 ReverseNote 는 책임지지 않습니다.
K8_Struts2_EXP+S2-045+%26+任意文件上?+20170309.rar
출처
1 Comment