内容简介：这个星期对安全漏洞有个直观的认识。很久前就听闻Struts2爆出高危漏洞。星期体验了一把。
这个星期对安全漏洞有个直观的认识。
很久前就听闻Struts2爆出高危漏洞。
星期体验了一把。
把 myyong 上的struts2示例代码拷贝下来。
把版本改到 2.2.3
，然后运行。
让安全测试人员渗透下。
结果分分钟，我电脑就被拿下了，直观的就是他可以访问的我电脑的文件系统，查看修改拷贝文件。
想想，如果是生产环境，服务器上的文件就可能遭到泄漏。
做为开发人员，如果没有第三方的通知，可能都不会意识还有这个问题。
所以觉得合格的开发人员应该了解常见的安全入侵手段。
在编程业务逻辑的时候，除了正向的考虑，也需要反向的考虑。
比如习惯性的假设有恶意攻击者，会出现怎么样的后果。
这样肯定是可以避免很业务逻辑安全漏洞。
后来好奇心让我想了解它的原理。
原理
Struts2的核心是使用的webwork框架,处理 action时通过调用底层的getter/setter方法来处理http的参数,它将每个http参数声明为一个ONGL(这里是ONGL的介绍)语句。
当我们提交一个http参数:
?user.address.city=Bishkek&user[‘favoriteDrink’]=kumys
ONGL将它转换为:
action.getUser().getAddress().setCity("Bishkek")
action.getUser().setFavoriteDrink("kumys")
这是通过ParametersInterceptor(参数过滤器)来执行的,使用用户提供的HTTP参数调用 ValueStack.setValue()。
为了防范篡改服务器端对象,XWork的ParametersInterceptor不允许参数名中出现“#”字符,但如果使用了 Java 的 unicode字符串表示\u0023,攻击者就可以绕过保护,修改保护Java方式执行的值:
安识科技伏特漏洞云扫描平台st2_045 API https://v.duoyinsu.com/api/st2_045?url=xxxx
未完待续,,,
其实是想在代码层面分析下过程，暂时没有时间来做
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
- 漏洞预警 | ThinkPHP5远程命令执行漏洞
- WinRAR 代码执行漏洞复现
- 【漏洞预警】 S2-057远程代码执行
- EKG Gadu 本地代码执行漏洞
- Gogs 远程命令执行漏洞分析
- 潜藏19年的WinRAR代码执行漏洞
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
信息学奥林匹克教程·提高篇
吴耀斌 / 湖南师范大学出版社 / 2003-1 / 24.00元
《信息学奥林匹克教程》(提高篇)既有各个算法设计基本思路的讲解及对求解问题的分析，注重了算法引导分析与不同算法的比较，又给出了具体的编程思路与参考程序，程序采用信息学竞赛流行的Turbo Pascal7.0语言编写，并注重结构化与可读性。一起来看看 《信息学奥林匹克教程·提高篇》 这本书的介绍吧!
