• 如果你喜欢Time_泽~少的博客,请按ctrl+D收藏吧!
  • 网络安全/信息技术博客

Struts 2.3.1 DebuggingIinterceptor 命令执行漏洞

Struts 2.3.1 DebuggingIinterceptor 命令执行漏洞
漏洞类型:

命令执行漏洞
网站组件:

Struts
漏洞描述:

Struts2是一种流行的Java开发框架,其2.3.1.1及之前的版本存在命令执行漏洞,攻击者可以利用该漏洞,执行恶意Java代码。

Struts2的核心使用的是WebWork框架,而WebWork通过XWork来处理用户的请求参数。Xwork的默认配置是禁止静态方法执行的,想要修改默认配置中的值,根据语法要求就必须使用#字符来表示变量,并对变量进行修改。

此漏洞的利用原理是这样的,当Struts以开发模式部署时, 可以通过url直接让Struts执行OGNL表达式,从而有效地执行Java代码。

漏洞危害:
  1. 可远程执行服务器脚本代码[2]
    用户可以构造http://host/struts2-blank/example/X.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{‘command’,’goes’,’here’})).start()}链接,command goes here可以换成是破坏脚本的路径和参数,比如fdisk -f等,造成破环系统无法运行的目的。
  2. 重定向漏洞[3]
    用户可以构造如知名网站淘宝的重定向连接,形如<a href=”http://www.淘宝.com/item00001.html?redirect:http://黑客/getyourPassword”>打折新款</a>,引导用户点击后进入钓鱼网站,在界面上让其进行登陆用以获取用户的密码。

这个漏洞极易被攻击者利用,使得整个网站被攻击者所控制,导致网站数据被窃取、网页被篡改,严重危害网站的安全。

解决方案:

1、请访问其官方网站,下载Struts2.3.1.1(含)以后的版本:http://struts.apache.org/。

原创文章,转载请注明: 转载自Time_泽~少的博客

本文链接地址: Struts 2.3.1 DebuggingIinterceptor 命令执行漏洞

Struts 2.3.1 DebuggingIinterceptor 命令执行漏洞



Time_泽~少的博客, 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权 , 转载请注明Struts 2.3.1 DebuggingIinterceptor 命令执行漏洞
喜欢 (1)or分享 (0)
Time_泽 ~少
关于作者:
计算机专业/网络安全技术,社会工程学。
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址可不填