Laboratorio de Defensa y Explotación de Apache Struts2 S2-045

Un laboratorio de seguridad basado en Docker que demuestra tanto explotación como defensa contra la vulnerabilidad Apache Struts2 S2-045 (CVE-2017-5638). Este laboratorio incluye:

1. Aplicación vulnerable: Struts 2.3.31 (vulnerable a S2-045) para demostración de explotación
2. Laboratorio de defensa: Struts 6.3.x (parcheado) con protección WAF para entrenamiento defensivo

⚠️ Advertencia de seguridad: Este laboratorio contiene exploits funcionales y código vulnerable. Utilice solo en entornos aislados. NO exponga a redes públicas.

Architecture Overview

┌─────────────────────────────────────────────────────────────┐
│                     Host (127.0.0.1 only)                   │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  ┌─────────────────┐    ┌─────────────────┐              │
│  │   Simulator     │───▶│  Nginx Proxy    │              │
│  │  (curl-based)   │    │  + WAF Rules    │              │
│  └─────────────────┘    └────────┬────────┘              │
│                                  │                        │
│                          ┌───────┴────────┐              │
│                          │                │                │
│                  ┌───────▼──────┐ ┌───────▼──────┐        │
│                  │  Defense App │ │ Vulnerable   │        │
│                  │ (Struts 6.3) │ │ App (2.3.31) │        │
│                  │ Port: 8080  │ │ Port: 8081  │        │
│                  └──────────────┘ └──────────────┘        │
│                                                             │
│  ┌─────────────────┐                                      │
│  │  Exploit        │───▶ Vulnerable App (8081)            │
│  │  Container      │                                      │
│  └─────────────────┘                                      │
│                                                             │
│  Logs mounted to: ./logs/nginx/, ./logs/app/,             │
│                   ./logs/app-vulnerable/                  │
└─────────────────────────────────────────────────────────────┘

Components

Contenedor	Propósito	Puerto
nginx	Proxy inverso con reglas WAF, limitación de velocidad	127.0.0.1:8080
app	Tomcat 9 + Struts 6.3.x (parcheado, laboratorio de defensa)	Solo interno
app-vulnerable	Tomcat 9 + Struts 2.3.31 (vulnerable, para explotación)	127.0.0.1:8081
exploit	Contenedor de demostración de explotación	N/A
simulator	Envía solicitudes de prueba (patrones benignos + sospechosos)	N/A

Getting Started

Prerequisites

• Docker (versión 20.10 o posterior)
• Docker Compose (versión 2.0 o posterior)
• Python 3 (opcional, para ejecutar scripts de exploit directamente)
• curl (opcional, para pruebas manuales)

Installation

1. Clonar el repositorio

# Clone the repository
git clone https://github.com/ACharaf06/cybersec.git
cd cybersec

2. Build and Run

# Build all containers (this may take several minutes on first run)
docker compose build

# Start the defense lab (nginx + patched app)
docker compose up -d nginx app

# Start the vulnerable app (for exploitation demo)
docker compose up -d app-vulnerable

# Verify services are running
docker compose ps

# Wait for services to be healthy (about 60 seconds)
sleep 60

# Check health endpoints
curl http://127.0.0.1:8080/struts-lab/health  # Defense lab
curl http://127.0.0.1:8081/struts-lab/health   # Vulnerable app

Expected Output:

• Laboratorio de defensa: respuesta JSON con "status":"healthy" y "strutsVersion":"6.3.0.2 (patched - not vulnerable to S2-045)"
• Aplicación vulnerable: respuesta JSON con "status":"healthy" y "strutsVersion":"2.3.31 (VULNERABLE to S2-045)"

2. Pruebas del laboratorio de defensa

# Run the simulator container (tests defense mechanisms)
docker-compose run --rm simulator

# Or run individual tests manually:
# Legitimate upload
curl -X POST -F "[email protected]" http://127.0.0.1:8080/struts-lab/upload

# Suspicious Content-Type (will be blocked by WAF)
curl -v -X POST \
  -H "Content-Type: multipart/form-data; boundary=----SUSPICIOUS" \
  http://127.0.0.1:8080/struts-lab/upload

3. Demostración de explotación

# Run the exploit container (demonstrates S2-045 exploitation)
docker-compose --profile exploit run --rm exploit

# Or use the Python exploit script directly
python3 exploit/exploit.py http://127.0.0.1:8081/struts-lab 'whoami'

# Or use the bash script
./exploit/demo_exploit.sh

⚠️ Warning: The vulnerable application is intentionally exploitable. Only run in isolated environments.

4. Observar los registros

# Defense lab logs
tail -f logs/nginx/access.log      # Nginx access logs
tail -f logs/nginx/error.log       # WAF blocks
tail -f logs/app/struts-lab.log    # Defense app logs

# Vulnerable app logs
tail -f logs/app-vulnerable/struts-lab.log  # Vulnerable app logs

# All logs combined
docker-compose logs -f

Qué observar

Laboratorio de defensa (Puerto 8080)

Solicitud legítima:

• Registro de acceso de Nginx: respuesta 200
• Registro de la aplicación: mensaje de procesamiento de carga a nivel INFO
• La solicitud se completa correctamente

Solicitud sospechosa/malformada:

• Registro de acceso de Nginx: 403 Forbidden o 400 Bad Request
• Registro de error de Nginx: mensaje de regla WAF activada
• Registro de la aplicación: puede mostrar error de análisis si la solicitud llega a la aplicación
• La solicitud es bloqueada o sanitizada

Aplicación vulnerable (Puerto 8081)

Explotación exitosa:

• HTTP 200 o 500 respuesta
• Salida del comando visible en el cuerpo de la respuesta
• Expresiones OGNL evaluadas
• Comandos del sistema ejecutados

Ejemplos de registros:

Nginx bloqueando Content-Type sospechoso (Laboratorio de defensa):

[WAF] Blocked suspicious Content-Type pattern - Request ID: abc123

Registro de metadatos de solicitud de la aplicación (Laboratorio de defensa):

[REQUEST] ID=abc123 Content-Type=multipart/form-data Method=POST URI=/upload
[UPLOAD] Processing file upload for request abc123

Explotación exitosa (Aplicación vulnerable):

HTTP/1.1 200 OK
...
root
(Command output appears in response body)

Comparación: Vulnerable vs Defensa

Característica	Aplicación vulnerable (Puerto 8081)	Laboratorio de defensa (Puerto 8080)
Versión de Struts	2.3.31 (vulnerable)	6.3.0.2 (parcheado)
Protección WAF	❌ Ninguna	✅ Reglas WAF de Nginx
Límite de velocidad	❌ Ninguno	✅ 10 solicitudes/s
Límites de tamaño de solicitud	❌ Ninguno	✅ Cuerpo 10MB, encabezados 8KB
Registro de seguridad	⚠️ Mínimo	✅ Completo
Inyección OGNL	✅ Explotable	❌ Bloqueada/Parcheada
RCE Posible	✅ Sí	❌ No
Caso de uso	Demostración de explotación	Entrenamiento defensivo

Notas de seguridad

Aislamiento

• Todos los servicios vinculados solo a 127.0.0.1 (sin acceso externo)
• Red interna de Docker para comunicación entre contenedores
• Sin exposición de puertos a 0.0.0.0
• La aplicación vulnerable NUNCA debe exponerse a redes públicas

Capas de defensa (Laboratorio de defensa)

1. Reglas WAF de Nginx: Bloquean patrones de Content-Type sospechosos antes de llegar a la aplicación
2. Límite de velocidad: 10 solicitudes/segundo por IP
3. Límites de tamaño de solicitud: Máximo cuerpo 10MB, máximo encabezados 8KB
4. Struts parcheado: Utiliza Struts 6.3.x (no vulnerable a S2-045)
5. Registro completo: Toda actividad sospechosa es registrada