深入解析CTFshow S2系列漏洞实战：从OGNL注入到环境变量泄露

1. 从CTFshow S2系列题目看Struts2漏洞的实战价值

如果你玩过CTF，尤其是Web安全方向的题目，那你大概率听说过或者做过CTFshow的题目。这个平台出的题，尤其是Web系列，常常紧扣真实世界的高危漏洞，拿来练手和加深理解再合适不过了。今天咱们要聊的，就是CTFshow S2系列里那些关于Struts2框架的经典漏洞实战。我当年刚开始学安全的时候，总觉得Struts2的漏洞原理很深奥，那些OGNL表达式看得人头皮发麻。但后来在CTFshow上从S2-001一路做到S2-005，亲手把漏洞从发现到利用走一遍，才真正把那些书本上的概念变成了肌肉记忆。这个系列题目，特别是web279到web281这几道，简直就是为想搞懂Struts2漏洞攻击链的人量身定做的实战手册。

为什么Struts2的漏洞这么值得研究？简单说，它曾经是，并且在某些遗留系统里可能现在依然是，企业级Java Web应用的主流框架之一。从早期的S2-001到后来的各种高危漏洞，很多都源于它对用户输入的处理方式，特别是OGNL表达式的解析机制。在CTFshow的题目里，你不是在背漏洞编号和Payload，而是在模拟一个真实的攻击场景：从一个不起眼的登录页面，如何一步步发现漏洞特征，构造攻击代码，最终拿到系统权限或者敏感信息。这个过程，对于想做红队渗透或者漏洞研究的朋友来说，价值巨大。它能帮你建立起一种“攻击者思维”，知道从哪里入手，怎么利用，以及最终想要达到什么目的。

咱们今天这篇文章，就打算以CTFshow web279和web280这两道题为蓝本，把S2-001和S2-005这两个漏洞掰开了、揉碎了讲清楚。我不会只给你一个最终的Payload让你去复制粘贴，那样你永远学不会。我会带你一起，像侦探破案一样，从页面的一个异常提示、URL里的一个路径开始推理，一步步分析漏洞原理，然后手把手教你如何构造、调试并最终执行那个能泄露环境变量的OGNL表达式。你会发现，原来那些看起来复杂的Java代码和奇怪的符号，背后都有清晰的逻辑。准备好了吗？咱们这就开始。

2. 初探S2-001：OGNL表达式注入与命令执行

2.1 漏洞触发点：一个“好心办坏事”的表单回显

咱们先来看CTFshow web279这道题。题目给了一个链接，点进去是个登录页面，URL长这样：/S2-001/login.action。页面标题也写着“S2-001”。有经验的朋友看到这个，心里大概就有数了，这明摆着是让我们复现Struts2的S2-001漏洞。但如果你是新手，可能会问：光看个路径和标题就能确定吗？其实这里结合了经验和对Struts2的了解。Struts2的Action通常以.action结尾，而“S2-001”这个编号在安全圈里太有名了，它就像是Struts2漏洞宇宙的一个入口。

那么，S2-001到底是怎么一回事呢？我用大白话给你解释一下。想象一下，你有一个网站登录页面，输入用户名密码，点提交。如果输错了，页面一般会弹回来，并且把你刚才输错的用户名还在那个输入框里给你填好，免得你再打一遍。这个功能很贴心对吧？Struts2框架为了实现这个“表单值回显”功能，它用了一个叫OGNL（Object-Graph Navigation Language）的表达式语言来处理你提交的数据。具体来说，当你提交失败时，后端会把你提交的参数值，用%{value}这样的格式包裹起来，当成OGNL表达式解析一次，然后把解析结果填回表单里。

问题就出在这个“解析一次”上。OGNL表达式功能非常强大，它不仅能取变量的值，还能执行Java代码、调用方法、访问系统属性。本来，%{value}里的value应该就是你提交的普通字符串，比如“admin”。但如果你提交的不是“admin”，而是一个精心构造的OGNL表达式，比如%{1+1}，那么框架就会老老实实地去计算1+1，然后把结果2填回到输入框里显示给你看！这就相当于，你通过一个普通的输入框，让后端的Java代码执行了你想要的运算。从算术运算到命令执行，只有一步之遥。

所以，在web279的登录框里，我们第一个测试Payload就是%{1+1}。如果页面返回后，输入框里显示的不是%{1+1}，而是2，那就石锤了，这里存在OGNL表达式注入漏洞。服务器把我们的输入当代码执行了。这个测试方法简单又直接，是检测这类漏洞的经典第一步。

2.2 从表达式计算到系统命令执行：Payload构造详解

验证漏洞存在后，接下来就是升级攻击，从执行1+1变成执行系统命令whoami、ls甚至env。原始文章里给出了一个完整的Payload，看起来一大串，挺吓人的。别慌，咱们把它拆解成几个部分，每个部分就像积木一样，组合起来完成整个攻击流程。

%{
 #a=(new java.lang.ProcessBuilder(new java.lang.String[]{"whoami"})).redirectErrorStream(true).start(),
 #b=#a.getInputStream