要点:

找到注入点
利用mysql的load_file()读取网站配置信息找到管理后台
上传webshell9
 
了解一下Struts和.do :
首先了解一下什么是Struts。Struts是Apache基金会Jakarta项目组的一个Open Source项目，是一种优秀的J2EE MVC架构方式，它利用taglib获得可重用代码和抽象Java 代码，利用ActionServlet配合Struts-config.xml实现对整个系统导航。增强了开发人员对系统的整体把握，提高了系统的可维护 性和可扩充性。
Struts的核心是Controller，即ActionServlet,而ActionServlet的核心就是Struts- config.xml，Struts-config.xml集中了所有页面的导航定义。关于sstruts更加详细的内容可以到以下地址浏览：

http://www.ibm.com/developerworks/cn/java/j-struts/
 
.do文件是一个网页后台程序，它实际不是一个文件,并没有一个真正的.do文件存在，它不能直接打开 ，struts使用一个特殊的servlet作为“交换机”，将来自web浏览器的请求转到相应的serverpage。在开发web应用时有一个必须要 写的部署描述文件（web-inf/web.xml）。这个文件描述了你的web应用的配置，包括欢迎页面（welcome pages）（当请求没有指定时，出现在目录下的文件）、servlet（路径或者扩展名）和那些servlets的参数的映射。在这个文件中，你配置struts actionservlet作为一个操控所有指定映射（通常以.do为扩展名）请求的servlet——这就是“交换机”。
 
访问xx.do页面实际就是访问xx.jsp文件,但是使用了struts技术的网站，直接访问xx.jsp是不会被Tomcat、Resin等web服务器解析的。
 
xx.do页面目录下必有web-inf文件夹，存放Struts-config.xml！！
下面开始转入主题:
 
1、打开目标站点，发现是jsp类型网站，页面后缀名称是.do和.jsp，打开页面
http://www.2cto.com /newslistAction.do?type=1w
 
输入标点',根据页面返回的内容，发现网站是基于Apache Tomcat/5.0.28 的web服务器。
这里是我们自己的交流平台，是属于我们90sec所有成员的技术分享平台!
 
2、寻找注入点，打开“产品中心”-“网络防火墙”-打开一种产品的介绍
http://www.2cto.com /showproAction.do?id=47
试试是否能手工注入，根据对此站点的了解，数据库应该是mysql或者oracle，oracle那种大玩意我们就不敢碰了，先试试看是不是mysql ，http://www.2cto.com /showproAction.do?id=47 and ord(mid(version(),1,1))>51
页面正常，说明是mysql，而且mysql的版本是4.0以上，可以使用union查询,下面爆一下字段数：
http://www.2cto.com /showproAction.do?id=47' and 1=2 union select 1,2,3/* 页面出错；
http://www.2cto.com /showproAction.do?id=47'%20and%201=2%20union%20select%201,2,3,4,5,6,7/*
页面正常，而且页面内容显示出我们想要的数字！！
 
mysql注入爆字段有个技巧，不需要这么麻烦进行猜测，可以利用order by 暴字段数，例如：
www.2cto.com /showproAction.do?id=47' and 1=2 union select 1,2/* 页面出错；
http://www.2cto.com r/showproAction.do?id=47' order by 7/* 页面正常；
 
http://www.2cto.com /showproAction.do?id=47' order by8/* 页面出错，说明共有7个字段
3、既然知道了是mysql数据库，也找到了注入点，当然是拿出php注入工具，这里使用的是海洋顶端网PHP注射工具，获取数据库的一些信息，更加重要的使用load_file()函数。
 
对于mysql数据库来说，root用户默认只能在本机登陆，就不要指望使用空密码连接3306端口远程登录mysql数据库。
现在还不知道操作系统是windows还是linux，如果系统没有做用户权限设置，可以用load_file()函数试 试，load_file('/etc/password')，load_file('c:\boot.ini')，竟然是windows 2000 Server！看来网站架构应该就是windows 2000 server+tomcat+mysql，不要指望IIS了。
4、.继续注入，看能不能找到网站管理员帐号和密码。拿出近来比较出风头的注入工具pangolin(穿山甲)，输入注入地址
http://www.2cto.com /showproAction.do?id=47ww
 
数据库当然是mysql了，注入字符类型是int型，晕，跑了半天竟然跑不出东西来，数据表也猜测不到东西，看来用工具猜测获得数据库的管理员帐号和密码是不太现实了，再想想其他办法咯。
5、如果知道页面文件在硬盘的绝对路径，当然可以load_file()查看页面源代码，关键是怎么暴露出页面 的地址呢？如果是php页面还可以构造一些sql语句导致查询出错而暴露出web页面绝对路径，但现在是tomcat，页面执行出错的时候都是tomcat该死的调试信息霸占住页面。试试啊D注入工具的管理入口搜索，结果发现的只有tomcat的默认管理页面，没有配置过的tomcat管理界面 是登陆不了的。继续搜索，无意中打开了
 
http://www.2cto.com /manager/
 
http://www.2cto.com /jiehe/
 
可以列目录哦，不过看不到什么有价值的页面地址。
6、试试工具wwwscan，一个支持SSL的命令行CGI扫描器，据说收集了很多敏感的目录文件，终于访问http://www.2cto.com \\com3的时候，错误页面暴露出来网站的路径:F:\Tomcat 5.0\webapps\ROOT\com3 (系统找不到指定的文件)，那说明tomcat的虚拟目录路径就是
 
F:\Tomcat 5.0\webapps\ROOT\
 
绿盟漏洞库（http://www.nsfocus.net/vulndb/9875）是这样描述此漏洞的：,
 
DApache Tomcat MS-DOS设备名远程拒绝服务漏洞：
 
Apache Tomcat在处理畸形的用户请求时存在漏洞，远程攻击者可以利用这个漏洞对服务程序执行拒绝服务攻击，使合法用户无法正常访问服务。当用户发送MS-DOS设备名加“.jsp”的文件请求到服务器时，会导致服务程序发生拒绝服务。
7、既然知道了网站的虚拟路径，那么剩下的就是利用load_file()看页面代码咯。先试试load_file(“index.php”),可惜看不到什么有价值的信息，那么看看tomcat的配置文件，
F:\Tomcat 5.0\conf\server.xml
如果网站虚拟目录移动到其他路径不在tomcat安装目录下，在server.xml中会有新的虚拟目录信息，但此时没有什么有用的信息。试试F:\Tomcat 5.0\webapps\root\web-inf\struts-config.xml
 
整个站点的页面路径都出来了！
 
8、http://www.2cto.com  /usereditAction.do?id=1，显示修改管理员密码的页面，不用用户身份验证就可以访问页面也就不说了，更要命的是天上掉下馅 饼:html代码里面竟然还可以看见用户帐户和密码！！继续在struts-config.xml找后台管理界面登陆页面，终于发现是后台登陆地址是
http://www.2cto.com /siteadmin/login.jsp
9、google搜索并找到一个：JFolder.jsp，用网站后台功能上传jsp木马，上传成功，根据网站内其它已上传图片的路径，直接访问
http://www.2cto.com //dir/上传文件新名称，得到webshell！！
 
10、总结：在本次安全检测中，网站存在注入点，然后通过struts-config.xml找到网站的管理后台地 址，然后又暴露出管理员的帐号和密码，实属运气，否则还需要花费很大力气去猜解管理表名称以及管理员帐号和密码后才能顺利进入管理后台并上传jsp木马形成webshell

总而言之，网站系统的防护缺陷包括有:

网站系统存在注入点、服务器没有进行用户权限设置、网站后台某些管理页面没有进行用户认证、上 传页面可以上传任意类型文件。

在wwwscan的扫描结果中已经发现了上传页面，并且能上传任意文件，但是还需要猜解到文件传上去后的路径是img还是dir或者是其它路径然后 才能访问到此jsp木马，但本次入侵主要还是利用了struts的配置文件struts-config.xml来获得webshell！


摘自 90sec