从Apache官方公布的数据来看，从2007年至2018年共公布了编号S2-001至S2-056共56个漏洞，其中仅远程代码执行漏洞（RemoteCodeExecution）就有9个。
2017年3月被报出的S2-045（CVE-2017-5638）高危漏洞，基于JakartaMultipart解析器执行文件上传时可能导致RCE，影响范围为Struts2.3.5–Struts2.3.31，以及Struts2.5–Struts2.5.10版本，持续存在被利用进行攻击的情况。
2018年4月腾讯御见威胁情报中心曾监测到黑客组织利用该漏洞批量入侵web服务器植入挖矿木马（详情见《企业未修复ApacheStruts2漏洞致Web服务器被批量入侵》一文），近期御见威胁情报中心再次监测到类似的攻击。
此次攻击中，黑客利用攻击工具WinStr045检测网络上存在漏洞的web服务器，发现存在漏洞的机器后通过远程执行各类指令进行提权、创建账户、系统信息搜集，然后将用于下载的木马mas.exe植入，进而利用mas.exe这个木马下载器从多个C&C地址下载更多木马：利用提权木马o3/o6.exe、挖矿木马netxmr4.0.exe。
由于挖矿木马netxmr解密代码后以模块名“koi”加载，因此腾讯御见威胁情报中心将其命名为KoiMiner。有意思的是，入侵者为确保自己挖矿成功，会检查系统进程中CPU资源消耗，如果CPU资源占用超过40%，就会将其结束运行，将省下来的系统资源用于挖矿。
根据代码溯源分析，腾讯御见威胁情报中心研究人员认为，本次KoiMiner系列挖矿木马可能是某些黑客论坛、地下挖矿组织交流社区里多人合作的“练习”作品。
攻击流程
注：Struts是一个基于MVC设计模式的Web应用框架，用户使用该框架可以将业务逻辑代码从表现层中清晰的分离出来，从而把重点放在业务逻辑与映射关系的配置文件上。Struts2是Struts与WebWork的结合，综合了Struts和WebWork的优点，采用拦截器的机制来处理用户的请求，使业务逻辑能与ServletAPI完全脱离开。
0×2详细分析0×2.1入侵
检测目标系统是否存在S2-045漏洞
对存在漏洞的系统进行攻击
入侵工具中供选择的渗透命令
入侵时可以选择执行的命令（也可自定义）,供选择的命令是Windows、linux渗透中常用的命令，包括查看系统版本信息、网络连接状态、端口开放状态以及向系统添加具有管理员权限的新用户、打开远程连接服务等操作。
通过目录查看命令确认C:\Windows\Help目录和C:\ProgramData目录是否已经植入木马，若没有则将mas.exe木马植入。植入时先创建C#代码文本mas.cs，然后使用.NET程序将其编译为可执行文件mas.exe。
首先执行命令创建mas.cs并写入用于下载的代码。
然后执行命令将mas.cs通过.NET程序编译为mas.exe。
命令中利用mas.exe下载挖矿木马netxmr4.0。
部分受攻击目标如下：
植入的mas.exe大小只有4k,存放在目录ProgramData下。从御见威胁情报中心的监控记录可以看到，mas.exe从多个C2地址下载了netxmr4.exe(挖矿木马)、o3.exe/o6.exe(提权木马)等多个木马。
o3.exe利用MS16-032漏洞提升权限
0×2.3.1代码解密
挖矿木马Netxmr4.0使用C#编写并且使用ConfuserEx对代码进行了加密混淆，在执行前使用自带的解密函数进行解密，然后利用C#反射机制执行解密后的模块。
被加密的代码保存在数组array2中。
调用解密函Decrypt对代码进行解密。
解密后保存在数组array3中，可以看到PE文件的标志“4D5A”。
将array3作为模块“koi”加载得到最终执行的恶意代码。
代码中各个类对应功能如下：
利用C#反射机制执行模块“koi”
0×2.3.2争夺资源
挖矿木马在运行前，通过多个方法查找占用系统CPU较高的进程，关闭进程并隐藏其文件，从而保证自身挖矿代码运行时有充分的资源。
结束已在运行的挖矿进程。
结束文件版本信息中不包含“MicrosoftCorporation.”的taskmgr、svchost、csrss进程，并将该进程的文件设置为隐藏、任意用户拒绝访问。
0×2.3.3挖矿
如果挖矿木马版本不是“2010-2020”则从hxxp://50.232.75.165/更新下载挖矿木马。
存有挖矿配置文件的C2地址被加密。
解密函数通过字符重组运算+base64解密得到
hxxp://www.sufeinet.com/space-uid-97643.html
解密出地址后请求该C2页面
查找请求返回页面中“xMFOR”字符开头的字符（除去自身）：
NqNhbLWEgYNqNhb3J5cHJbiDQRvbml6kYu1naHQg3UtRpLW8gcMvQMr3RyYXfNwGtR1bStb7Imi0Y3A6OG8UJLy9wbK1U0829sLneS1uAN1cHBaCNRyvcnR4tdtM2bXIuYgmj3c29tOjdX5ZRMzMzMvxcUTgLXUgsiw0HNDQ4NB9UuKzNYYW8tpQ91lY2tu3f8jjNHdSDUC3mMjFBZXvjyoHJNNWUf5UdZub0ZGouCDIS1pKCZGh2U1ZqNW0nc5mNCQUTk98tRUZ0ZlCf3vUckVFiv1YkTjk0aV5qGMlAyWGSpClAZRWjckGjhC0UE1Sh15C1aXFvW0Sc74UhuQnmbSpeUyY0NjMnKTlMzJ32mKGVTHg3ZyXglJ0tIblIyChNFwZkZEiYCBxQ0xi1rOtlNlJ5bxcjQajIgLXH3GKdAgeCADncqStLWRvXF9lUbmF0ZUyVGIS1sZXG8KysZlbD0PyM6hx
解密页面中字符得到挖矿木马配置：
-acryptonight-ostratum+tcp://pool.supportxmr.com:3333-u44873Xameckc4wR21AdrM5fnoFHKZJSVj6cBADTgFTrEEN94jP2XfQZ74PMRiqoYHnBu2cCe32wLx7gKHnQpfFqCLb6Ryn2-px--donate-level=
门罗币挖矿钱包：
44873Xameckc4wR21AdrM5fnoFHKZJSVj6cBADTgFTrEEN94jP2XfQZ74PMRiqoYHnBu2cCe32wLx7gKHnQpfFqCLb6Ryn2
钱包收益情况：
在门罗币矿池地址查询该钱包，发现累计已经赚得约16个门罗币，而门罗币数量还在以每天约1个门罗币的速度持续上涨，这表明还有许多中招机器的木马未被清除。目前门罗币价格每个924元，该帐号已获得门罗币价值约15000元。
从C2地址50.232.75.165获取的多个版本挖矿木马进行分析发现，木马作者从2018.5.13至2018.6.28持续对木马进行更新版本。在一共发现的4个版本代码对比来看，木马初始版本只有简单挖矿功能，而新版本中对C2地址进行加密、从云端获取挖矿配置、创建多个服务增加驻留几率，可以推测木马作者可能是在边学习边开发木马。
木马历史版本代码结构：
版本1.0编译日期2018-5-1322:37:18
版本2.0，编译日期2018-5-1920:51:01
版本3.0编译日期2018-5-2610:55:02
版本4.0编译日期2018-6-823:20:33
利用cacls.exe将病毒目录设置为只允许system用户访问；利用attrib.exe将病毒目录设置为系统文件属性、只读、隐藏。
木马1.0版本将C2地址使用base64加密后存放在
运行时获取该页面中字符并解密得到C2地址50.232.75.165
木马版本1.0-2.0挖矿配置文件为明文内置
-acryptonight-ostratum+tcp://monerohash.com:5555-u44873Xameckc4wR21AdrM5fnoFHKZJSVj6cBADTgFTrEEN94jP2XfQZ74PMRiqoYHnBu2cCe32wLx7gKHnQpfFqCLb6Ryn2-px--donate-level=1
而版本3.0-4.0需要先解密获得C2页面地址
然后解密C2页面中的挖矿配置信息
在版本4.0中，木马将自身拷贝到C:\\Windows\\Help\\csrss.exe
有的“学员”抱着纯学习技术的心态在论坛里学习，也有一些人受到利益的驱使，使用学习到的“渗透”、“免杀”等技术进行非法攻击行为。
数字加密货币开始兴起之后，得益于该货币交易的匿名性，难以追踪性，大量黑客开始了以获取数字加密货币为目的的攻击行为。
在某些论坛上甚至可以看到公开发布的“矿马”或“矿马”生成器，他们使用各类黑客入侵技术如端口爆破、SQL注入、web漏洞利用等进入目标系统，然后植入挖矿木马进行挖矿获利。
此次捕捉到的挖矿木马先开发了一个很简单的版本，然后历时近一个月更新多个版本改进代码功能，其作者极有可能也是上述“学员”中的一员。
0×5安全建议
1．可查看web目录下/WEB-INF/lib/目录下的struts-core.x.x.jar文件，如果这个版本在Struts2.3.5到Struts2.3.31，以及Struts2.5到Struts2.5.10之间则存在漏洞。受影响用户可升级版本至ApacheStruts2.3.32或ApacheStruts2.5.10.1以消除漏洞影响。