内容简介：这个星期对安全漏洞有个直观的认识。很久前就听闻Struts2爆出高危漏洞。星期体验了一把。
这个星期对安全漏洞有个直观的认识。
很久前就听闻Struts2爆出高危漏洞。
星期体验了一把。
把 myyong 上的struts2示例代码拷贝下来。
把版本改到 2.2.3
，然后运行。
让安全测试人员渗透下。
结果分分钟，我电脑就被拿下了，直观的就是他可以访问的我电脑的文件系统，查看修改拷贝文件。
想想，如果是生产环境，服务器上的文件就可能遭到泄漏。
做为开发人员，如果没有第三方的通知，可能都不会意识还有这个问题。
所以觉得合格的开发人员应该了解常见的安全入侵手段。
在编程业务逻辑的时候，除了正向的考虑，也需要反向的考虑。
比如习惯性的假设有恶意攻击者，会出现怎么样的后果。
这样肯定是可以避免很业务逻辑安全漏洞。
后来好奇心让我想了解它的原理。
原理
Struts2的核心是使用的webwork框架,处理 action时通过调用底层的getter/setter方法来处理http的参数,它将每个http参数声明为一个ONGL(这里是ONGL的介绍)语句。
当我们提交一个http参数:
?user.address.city=Bishkek&user[‘favoriteDrink’]=kumys
ONGL将它转换为:
action.getUser().getAddress().setCity("Bishkek")
action.getUser().setFavoriteDrink("kumys")
这是通过ParametersInterceptor(参数过滤器)来执行的,使用用户提供的HTTP参数调用 ValueStack.setValue()。
为了防范篡改服务器端对象,XWork的ParametersInterceptor不允许参数名中出现“#”字符,但如果使用了 Java 的 unicode字符串表示\u0023,攻击者就可以绕过保护,修改保护Java方式执行的值:
安识科技伏特漏洞云扫描平台st2_045 API https://v.duoyinsu.com/api/st2_045?url=xxxx
未完待续,,,
其实是想在代码层面分析下过程，暂时没有时间来做
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
- 漏洞预警 | ThinkPHP5远程命令执行漏洞
- WinRAR 代码执行漏洞复现
- 【漏洞预警】 S2-057远程代码执行
- EKG Gadu 本地代码执行漏洞
- Gogs 远程命令执行漏洞分析
- 潜藏19年的WinRAR代码执行漏洞
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
HTTPS权威指南
[英] Ivan Risti? / 杨洋、李振宇、蒋锷、周辉、陈传文 / 人民邮电出版社 / 2016-9 / 99.00元
本书是集理论、协议细节、漏洞分析、部署建议于一体的详尽Web应用安全指南。书中具体内容包括：密码学基础，TLS协议，PKI体系及其安全性，HTTP和浏览器问题，协议漏洞；最新的攻击形式，如BEAST、CRIME、BREACH、Lucky 13等；详尽的部署建议；如何使用OpenSSL生成密钥和确认信息；如何使用Apache httpd、IIS、Nginx等进行安全配置。一起来看看 《HTTPS权威指南》 这本书的介绍吧!
