ognl+cc 依赖绕过沙箱

当然现在spring是更胜一筹了，它已经老了，新生代开始接替了，而且我不得不说，ognl表达式漏洞能被研究如此地步，前辈们功不可没。

在Struts 2框架中，OGNL (Object-Graph Navigation Language) 是一个非常重要的功能，它被广泛应用于表达式语言（EL）中，用于在Struts 2中访问和操作Java对象的属性。OGNL使得Struts 2可以非常灵活地动态处理数据，并且与模型-视图-控制器（MVC）模式紧密集成。

支持对象方法调用，如objName.methodName()；

支持类静态方法调用和值访问，表达式的格式为@[类全名（包括包路径）]@[方法名|值名],如@java.lang.String@format(‘fruit%s’,’frt’)；

访问OGNL上下文（OGNL context）和ActionContext，可以直接new一个对象。

   . 操作符：如上所示，可以调用对象的属性和方法

@ 操作符：用于调用静态对象、静态方法、静态变量

  # 操作符：定义变量,用于调用非root对象。

eg：@java.lang.Runtime@getRuntime ().exec('calc')

其中的一些重要的内置对象：

attr：保存着上面三个作用域的所有属性，如果有重复的则以 request 域中的属性为基准。

VALUE_STACK：值栈，保存着valueStack对象，也就是说可以通过ActionContext访问到valueStack中的值。

下面的绕过会用到，因为绕过需要content对象，而这个对象可以从attr和VALUE_STACK中获取。

第一个是 _memberAccess，它是一个 SecurityMemberAccess 对象，用于控制OGNL可以做什么，另一个是context，它允许访问更多对象，其中许多对象对漏洞利用构建很有用。

一开始ognl设置了一个属性，来禁用静态方法allowStaticMethodAccess，但是可以通过如下方法:

2.修复

在 2.3.14.1 及更高版本中，allowStaticMethodAccess变为final，无法再更改。

实例化对象调用方法

不可以调用静态方法后，但是还允许构造任意类并访问其公共方法，所以其实我们根本不需要调用静态方法就可以执行命令。

在 2.3.20 中，引入了黑名单excludedClasses、excludedPackageNames和excludedPackageNamePatterns，而且禁用了构造函数的调用，不能使用静态方法。绕过点在于_memberAccess 仍然可以访问，而且DefaultMemberAccess对象任然允许静态方法和构造函数的调用。

所以我们替换_memberAccess来置空黑名单绕过。

之后把类ognl.MemberAccess和ognl.DefaultMemberAccess放在了我们的黑名单中。这里使用的是实例化OgnlUtil对象去置空黑名单。

我们的container中getInstance方法可以实例化OgnlUtil类。而_memberAccess 的初始化是createActionContext方法创建新的ActionContext，会调用 OgnlValueStack的setOgnlUtil方法，以使用OgnlUtil的全局实例初始化OgnlValueStack的securityMemberAccess，这样置空_memberAccess的黑名单。

在之后的版本中，我们的黑名单不再可以使用clear置空，视乎黑名单不可以再被删除。但是我们可以调用对于的setter方法去设置一个空的黑名单。

_memberAccess是一个瞬态对象，它是在创建新的ActionContext期间当请求进入时创建的。每次通过createActionContext方法创建新的ActionContext时，都会调用setOgnlUtil方法，以使用全局ognlUtil中的excludedClasses、excludedPackageNames等黑名单创建_memberAccess。

因此，通过重新发送请求，新创建的 _memberAccess将清空其列入黑名单的类和包，从而允许我们执行任意代码。整理了有效载荷，我以这两个有效载荷结束。第一个选项清空excludedClasses和excludedPackageNames黑名单。

无法new一个对象；无法调用黑名单类和包的方法、属性；无法使用反射；无法调用静态方法。

黑名单

这时候我们就需要利用ognl表达式中的一些对象了。

纵观前面置空的方法，从content、attr等等属性中获取的方法都已经被加入到了黑名单中。不过这里关键就在于有cc依赖，因为是可以通过getter、setter方法访问属性的。

关键类就是org.apache.commons.collections.BeanMap，它有一个setbean方法。

可以跟进 getReadMethod

这是当然，com.opensymphony.xwork2.ognl.OgnlValueStack类中就有getContext方法可以返回OgnlContext。

有了OgnlContext我们就可以去一样的原理，获取com.opensymphony.xwork2.ognl.SecurityMemberAccess对象，然后调用setExcludedClasses，setExcludedPackageNames覆盖黑名单。