acharaf06/cve-2017-5638-attack-and-defenseLaboratório de segurança baseado em Docker que demonstra a exploração e defesa do Apache Struts2 S2-045 (CVE-2017-5638), apresentando aplicações vulneráveis e corrigidas com proteção WAF para treinamento prático.
Um laboratório de segurança baseado em Docker que demonstra tanto a exploração quanto a defesa contra a vulnerabilidade Apache Struts2 S2-045 (CVE-2017-5638). Este laboratório inclui:
⚠️ Aviso de Segurança: Este laboratório contém exploits funcionais e código vulnerável. Use apenas em ambientes isolados. NÃO exponha a redes públicas.
┌─────────────────────────────────────────────────────────────┐
│ Host (127.0.0.1 only) │
├─────────────────────────────────────────────────────────────┤
│ │
│ ┌─────────────────┐ ┌─────────────────┐ │
│ │ Simulator │───▶│ Nginx Proxy │ │
│ │ (curl-based) │ │ + WAF Rules │ │
│ └─────────────────┘ └────────┬────────┘ │
│ │ │
│ ┌───────┴────────┐ │
│ │ │ │
│ ┌───────▼──────┐ ┌───────▼──────┐ │
│ │ Defense App │ │ Vulnerable │ │
│ │ (Struts 6.3) │ │ App (2.3.31) │ │
│ │ Port: 8080 │ │ Port: 8081 │ │
│ └──────────────┘ └──────────────┘ │
│ │
│ ┌─────────────────┐ │
│ │ Exploit │───▶ Vulnerable App (8081) │
│ │ Container │ │
│ └─────────────────┘ │
│ │
│ Logs mounted to: ./logs/nginx/, ./logs/app/, │
│ ./logs/app-vulnerable/ │
└─────────────────────────────────────────────────────────────┘
| Container | Finalidade | Porta |
|---|---|---|
nginx | Proxy reverso com regras WAF, limitação de taxa | 127.0.0.1:8080 |
app | Tomcat 9 + Struts 6.3.x (corrigido, laboratório de defesa) | Apenas interno |
app-vulnerable | Tomcat 9 + Struts 2.3.31 (vulnerável, para exploração) | 127.0.0.1:8081 |
exploit | Container de demonstração de exploração | N/A |
simulator | Envia requisições de teste (padrões benignos + suspeitos) | N/A |
# Clone the repository
git clone https://github.com/ACharaf06/cybersec.git
cd cybersec
# Build all containers (this may take several minutes on first run)
docker compose build
# Start the defense lab (nginx + patched app)
docker compose up -d nginx app
# Start the vulnerable app (for exploitation demo)
docker compose up -d app-vulnerable
# Verify services are running
docker compose ps
# Wait for services to be healthy (about 60 seconds)
sleep 60
# Check health endpoints
curl http://127.0.0.1:8080/struts-lab/health # Defense lab
curl http://127.0.0.1:8081/struts-lab/health # Vulnerable app
Saída Esperada:
"status":"healthy" e "strutsVersion":"6.3.0.2 (patched - not vulnerable to S2-045)""status":"healthy" e "strutsVersion":"2.3.31 (VULNERABLE to S2-045)"# Run the simulator container (tests defense mechanisms)
docker-compose run --rm simulator
# Or run individual tests manually:
# Legitimate upload
curl -X POST -F "[email protected]" http://127.0.0.1:8080/struts-lab/upload
# Suspicious Content-Type (will be blocked by WAF)
curl -v -X POST \
-H "Content-Type: multipart/form-data; boundary=----SUSPICIOUS" \
http://127.0.0.1:8080/struts-lab/upload
# Run the exploit container (demonstrates S2-045 exploitation)
docker-compose --profile exploit run --rm exploit
# Or use the Python exploit script directly
python3 exploit/exploit.py http://127.0.0.1:8081/struts-lab 'whoami'
# Or use the bash script
./exploit/demo_exploit.sh
⚠️ Aviso: A aplicação vulnerável é intencionalmente explorável. Execute apenas em ambientes isolados.
# Defense lab logs
tail -f logs/nginx/access.log # Nginx access logs
tail -f logs/nginx/error.log # WAF blocks
tail -f logs/app/struts-lab.log # Defense app logs
# Vulnerable app logs
tail -f logs/app-vulnerable/struts-lab.log # Vulnerable app logs
# All logs combined
docker-compose logs -f
Requisição Legítima:
200INFORequisição Suspeita/ Malformada:
403 Forbidden ou 400 Bad RequestExploração Bem-sucedida:
Exemplos de Logs:
Nginx bloqueando Content-Type suspeito (Laboratório de Defesa):
[WAF] Blocked suspicious Content-Type pattern - Request ID: abc123
Registro de metadados da requisição pela aplicação (Laboratório de Defesa):
[REQUEST] ID=abc123 Content-Type=multipart/form-data Method=POST URI=/upload
[UPLOAD] Processing file upload for request abc123
Exploração bem-sucedida (Aplicação Vulnerável):
HTTP/1.1 200 OK
...
root
(Command output appears in response body)
| Característica | Aplicação Vulnerável (Porta 8081) | Laboratório de Defesa (Porta 8080) |
|---|---|---|
| Versão do Struts | 2.3.31 (vulnerável) | 6.3.0.2 (corrigido) |
| Proteção WAF | ❌ Nenhuma | ✅ Regras WAF do Nginx |
| Limitação de Taxa | ❌ Nenhuma | ✅ 10 req/s |
| Limites de Tamanho de Requisição | ❌ Nenhum | ✅ 10MB corpo, 8KB cabeçalhos |
| Registro de Segurança | ⚠️ Mínimo | ✅ Abrangente |
| Injeção OGNL | ✅ Explorável | ❌ Bloqueada/Corrigida |
| RCE Possível | ✅ Sim | ❌ Não |
| Caso de Uso | Demonstração de exploração | Treinamento de defesa |
127.0.0.1 (sem acesso externo)0.0.0.0S2-045 (CVE-2017-5638) foi uma vulnerabilidade crítica no Apache Struts2 versões 2.3.5 - 2.3.31 e 2.5 - 2.5.10 onde:
A aplicação vulnerável (porta 8081) demonstra essa vulnerabilidade. O laboratório de defesa (porta 8080) mostra como se proteger contra ela.
.
├── docker-compose.yml # Orquestração de contêineres
├── README.md # Este arquivo
├── EXPLOITATION_GUIDE.md # Guia detalhado de exploração
├── TECHNICAL_DETAILS.md # Detalhes técnicos de implementação
├── GLOSSARY.md # Glossário de termos de segurança
├── nginx/
│ ├── nginx.conf # Configuração principal do Nginx
│ └── waf-rules.conf # Regras WAF para padrões S2-045
├── app/ # Laboratório de defesa (corrigido)
│ ├── Dockerfile # Construção Tomcat + Maven
│ └── struts-app/
│ ├── pom.xml # Projeto Maven (Struts 6.3.x)
│ └── src/main/
│ ├── java/ # Classes Action
│ ├── resources/ # Configuração Struts + Log4j
│ └── webapp/ # Visualizações JSP + web.xml
├── app-vulnerable/ # Aplicação vulnerável (para exploração)
│ ├── Dockerfile # Construção Tomcat + Maven
│ └── struts-app/
│ ├── pom.xml # Projeto Maven (Struts 2.3.31)
│ └── src/main/
│ ├── java/ # Classes Action
│ ├── resources/ # Configuração Struts + Log4j
│ └── webapp/ # Visualizações JSP + web.xml
├── exploit/ # Ferramentas de exploração
│ ├── Dockerfile # Container de exploit
│ ├── demo_exploit.sh # Script Bash de exploit
│ └── exploit.py # Script Python de exploit
├── simulator/
│ ├── Dockerfile # Alpine + curl
│ └── simulate.sh # Script de teste
└── logs/ # Diretório de logs montado
├── nginx/
├── app/ # Logs do laboratório de defesa
└── app-vulnerable/ # Logs da aplicação vulnerável
# Stop all containers
docker compose down
# Remove volumes and logs
docker compose down -v
rm -rf logs/
# Full cleanup (including images)
docker compose down --rmi all -v
O projeto está organizado da seguinte forma:
app/ - Aplicação do laboratório de defesa (Struts 6.3.x, corrigido)app-vulnerable/ - Aplicação vulnerável (Struts 2.3.31)exploit/ - Ferramentas e scripts de exploraçãonginx/ - Configuração do proxy reverso Nginx com regras WAFsimulator/ - Simulador de padrões de ataquelogs/ - Logs da aplicação (gitignored)# Rebuild only the vulnerable app
docker compose build app-vulnerable
docker compose up -d app-vulnerable
# Rebuild only the defense app
docker compose build app
docker compose up -d app
# Rebuild exploit container
docker compose build exploit
Aviso Legal: Este laboratório é apenas para fins educacionais. Use com responsabilidade e apenas em ambientes controlados.