阅读更多

13顶
1踩

企业架构

原创新闻 Apache Struts2 再现漏洞

2013-06-06 17:27 by 副主编 wangguo 评论(16) 有25569人浏览
Apache Struts团队上周刚修复了一个潜在的远程命令执行漏洞今天再次发布新版本2.3.14.3,修复了另一个重要的安全漏洞。

Struts框架允许基于通配符的动作映射,且当一个请求不匹配动作时,会尝试加载一个基于动作名称的JSP文件。由于动作名称中可以嵌入OGNL表达式,因此这有可能导致攻击者在服务器端执行Java代码。

在新版本中,可以检查动作名称是否匹配正则表达式[a-z]*[A-Z]*[0-9]*[.\-_!/]*(管理员也可以通过struts.xml来修改所允许动作名称的相关正则表达式),并且从OgnlTextParser中移除了双重求值功能。

你可以通过S2-015安全公告来查看问题的细节和相关示例。

新版本下载地址:http://struts.apache.org/download.cgi#struts23143
13
1
评论 共 16 条 请登录后发表评论
16 楼 mlw2000 2013-06-28 22:46
ta8210 写道
hxfein 写道
struts2为什么就不能放弃ognl啊,性能问题严重,还不安全


那是struts 的核心依赖。要是更换struts就得在升一个大版本 struts3了


从状况看v3也不会换,ognl将成为apache commons的子项目
15 楼 ta8210 2013-06-22 11:38
hxfein 写道
struts2为什么就不能放弃ognl啊,性能问题严重,还不安全


那是struts 的核心依赖。要是更换struts就得在升一个大版本 struts3了
14 楼 hxfein 2013-06-21 18:27
struts2为什么就不能放弃ognl啊,性能问题严重,还不安全
13 楼 mlw2000 2013-06-18 09:41
ta8210 写道
panzs 写道
刚升级到2.3.14.2,新的漏洞又来了。


不用就没麻烦了。

OGNL作为核心组件,没办法选配吧?
12 楼 if(i!=我){} 2013-06-16 22:08
所以我现在正逐步使用Maven管理项目
11 楼 ta8210 2013-06-15 20:10
panzs 写道
刚升级到2.3.14.2,新的漏洞又来了。


不用就没麻烦了。
10 楼 ta8210 2013-06-15 20:09
fjjiaboming 写道
多年不用 struts 2
OGNL 关闭它就好.


干脆不用,省心。
9 楼 fjjiaboming 2013-06-15 15:55
多年不用 struts 2
OGNL 关闭它就好.
8 楼 szuu 2013-06-11 22:24
今天刚想用struts2来搭建平台,就下载这个最新的吧,用里面指定的<constant name="struts.allowed.action.names" value="[a-zA-Z]*" />
做了配置,还是安全重要。
谢谢发表此贴!!
7 楼 814687491 2013-06-09 11:32
还是下载新的,支持struts2
6 楼 panzs 2013-06-08 15:05
刚升级到2.3.14.2,新的漏洞又来了。
5 楼 skydove 2013-06-08 14:30
不大懂耶
4 楼 rmn190 2013-06-08 11:39
第一次在iteye上看到struts漏洞报告, 很亲切
3 楼 求求你帮帮我 2013-06-08 09:24
我以前利用过这个漏洞攻击过别人。
2 楼 javamonkey 2013-06-07 13:31
没看,不知道这个能不能解决
http://javamonkey.iteye.com/blog/1591901
从底层入手
1 楼 mlw2000 2013-06-07 06:10
OGNL Eval Expressions are source of security risks

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • 软考_网络工程师_精华资料合集

    软考_网络工程师_精华资料合集.pdf

  • 网络工程师必备知识点

    作为网络工程师,您将负责设计、部署和维护计算机网络系统。这包括构建、配置和管理网络设备,如交换机、路由器、防火墙等,并确保网络系统能够高效地运行。您需要了解计算机网络的各个层次、协议、标准和技术,包括TCP/IP、DNS、HTTP、SSL等。此外,您还需要熟悉网络安全和防护,以确保网络的机密性、完整性和可用性。您可能需要协调不同团队和供应商,了解客户需求,提供技术支持和解决方案。作为网络工程师,您需要具备良好的沟通能力、解决问题的能力、团队合作精神和不断学习的态度。

  • 网络工程师必备知识点详解

    网络工程师必备知识点详解

  • 终于搞懂了不用网段ip之间是怎么传输数据的以icmp为例

    终于搞懂了不用网段ip之间是怎么传输数据的以icmp为例

  • 【网络工程】计算机网络专业术语概论全面整理

    网络是通过物理链接将各个独立的工作站或主机连接起来以形成数据链接,从而达到资源的共享和通信目的,并通过功能齐全的网络软件(如:网络协议,信息交换方法,网络操作系统等)实现网络资源共享的系统,被称为计算机网络概念。...

  • SNI生效条件 - 补充nginx-host绕过实例复现中SNI绕过的先决条件

    SNI机制生效时间,SNI机制工作流程,SNI机制绕过host头需要的条件

  • 【SSL】client send ClientHello 后server 返回alert 40 错误

    今天遇到这样一个问题,我们的email在通过ssl连接到gmail , 163 等email server的时,都是OK的,但访问搜狐邮箱的时候,就出问题了,刚刚发送了clientHello出去之后,server就返回了alert 错误,如下图: 但是通过foxmail去connect 的时候,又是OK的,于是把网络包抓出来对比了一下,      IP(61.135.132.99)一致

  • 网络工程师需要学哪些东西?

    有个朋友现在马上就要大学毕业了,但是他们学校很一般,他想在找工作之前能够充分的做好准备,并且对网络工程师这个职业和岗位非常感兴趣 所以他问到网络工程师成长日记作者小编如果要做网络工程师的话,需要学哪些东西? 一 首先最好是直接学华为认证或者思科认证。 因为网络工程师的种类非常多,有很多大学生可能也会考软考或者其他方向的,但是如果你本身是以就业为目的,那么你再选择网络工程师,学习内容上就不能学习的太简单或者以太入门的为主。 因为我们出去找工作,作为专业的网络工程师,岗位来说的话,通常对于技术是有一

  • 关于网络路由器的问题(深刻思考)

    首先,我们先要明白几个基本问题:

  • 网络安全工程师需要学什么?零基础怎么从入门到精通,看这一篇就够了

    本篇回答主要从Web安全方向出发,讲讲如何零基础学习Web安全。本篇文章虽然不能保证让你成为网安的大佬,但是你能耐心的看完全篇文章,至少能让你少走不少弯路!

  • 网络安全工程师需要学哪些内容?零基础如何从入门到精通,看完这一篇就够了

    作为一名网络安全工程师,需要学习以下内容: 计算机网络和操作系统:网络安全工程师需要了解计算机网络和操作系统的基础知识,以便理解网络安全的基础原理。 网络协议和技术:了解各种网络协议和技术,包括TCP/IP、HTTP、SMTP、FTP等,以及VPN、防火墙、IDS/IPS等网络安全技术。 漏洞分析和渗透测试:网络安全工程师需要掌握漏洞分析和渗透测试的技术和方法,以便发现和修复系统中的安全漏洞。 安全编程和代码审计:了解常见的安全编程技术和方法,例如加密、身份验证和访问控制等。对代码审计也要有一定的了

  • 网络传输协议

    网络传输协议 传输协议分类 协议详解 应用层 应用层的任务是通过应用进程之间的交互来完成特定网络应用。应用层协议定义的是应用进程之间的通信和交互规则。对于不同的网络应用需要不同应用层协议。在互联网中的应用层协议有如下: 域名系统:DNS(Domain Name System,Domain Name 被翻译为域名),它作为可以将域名和ip相互映射的一个分布式数据库,能够使人更方便的访问互联网,而...

  • 链路不通或服务器没响应,连不通服务器服务怎么办(理论篇)

    当你访问不到自己web服务器数据,当你ssh登陆被拒,当你pop3读取邮件失败…一句话,当你连不通你的服务器服务,你该怎么办?本文总结出通用而简单的步骤来指导你.足够简单的思路本地机器与远端服务器建立连接,消费服务的整个链路可显而易见划分为三部分,本机到网关部分,互联网部分,服务器网关到服务器部分.当然就大部分情况而言一般都是服务器部分的原因:出于安全问题的考虑,我们总会在服务器端进行访问限制,添...

  • 计算机网络小结

    计算机网络小结

  • 网络工程师都学什么?网络工程师学习路线内容

    大家在备考软考的时候肯定想着选择那些科目报名比较好,比较有发展前途,这里给大家整理了网络工程师的学习路线以及学习内容,仅供大家参考。 网络工程师是从事计算机信息系统的设计、建设、运行和维护工作,掌握网络技术的理论知识和操作技能。在软考中属中级资格,那么怎样才能具备这些技术呢?当然是需要进行全面的学习与实践训练了。 网络工程师都学什么? 要想知道网络工程师要学些什么东西,首先要了解网络工程师的...

  • 一名合格的网络工程师,我们需要掌握哪些基本知识

    企业网络工程师的日常工作职责今时已不同往日,从负责管理点到点的传输帧和分组,发展成为负责网络、服务器和存储基础设施的管理员之间的联络人。这一不断变化的角色将促使网络工程师需要具有更广泛的技能,以便将网络与业务目标相适应。 因为网络工程师坐在基础设施的核心,他们需要对网络中的应用程序和数据了如指掌。由于诸如虚拟化、容器以及超融合等技术,导致服务器和存储管理形成孤岛,而网络是将这些技术绑定在一起的核心...

  • UDP收不到报文,调试了一晚上,终于发现问题所在

    UDP收不到报文,调试了一晚上,终于发现问题所在 就是绑定端口 RecvAddr.sin_port = htons(8888);  // 正确 我居然错误写成了 RecvAddr.sin_port = htonl(8888);  // 错误 导致端口一个晚上都为0 都是粗心惹的祸啊。。 转载于:https://www.cnblogs.com/zimmerk/archive/201...

  • dpdk收不到报文问题解决

    二层转发实例: export RTE_SDK=/home/w15018/dpdk/dpdk-stable-18.02.2/ export RTE_TARGET=x86_64-native-linuxapp-gcc sudo ./examples/l2fwd/build/l2fwd -c 3 -n 2 -- -q 1 -p 1-P 1 -P 1是指开启网卡的混杂模式 -p PO...

  • http请求中必须具备哪个字段_详解http报文

    摘要作为一个web开发者,每天都在使用者Http协议,却总是一知半解。本文参看Http RFC7230规范,梳理了http报文部分。 http 报文构成start-line: 起始行,描述请求或响应的基本信息 *( header-field CRLF ): 头 CRLFheader起始行起始行的格式就是 start-line = request-line(请求起始行)/(响应起始行)status-...

  • 网络安全售前工程师需要具备哪些能力?

    网络安全售前工程师需要具备哪些能力? 一张思维导图即可一目了然 售前工程师在项目前配合销售拿单提供技术支持,需要了解公司,公司产品,技术框架等细节,同时还需要了解行业竞争对手产品,各自的优劣势,就公司产品和同行产品有个公平客观的评价和介绍。 售前工程师和项目经理的配合,在项目前期对用户关注需求或痛点,要结合公司产品实际能力,给出最佳解决方案,不夸大,不虚承若,细节做到位,做到真诚。不为项目中标后实施过程留下坑,确保项目能顺利验收。    1、具备一定的产品知识 熟悉公司本身的技术状态,包括技术团队能力、项

Global site tag (gtag.js) - Google Analytics