亲历struts2漏洞

struts2-core-xxx.jar中struts-default.xml中
defaultStack和paramsPrepareParamsStack的
<interceptor-ref name="params">
<param name="excludeParams">dojo\..*,^struts\..*</param>
</interceptor-ref>
改为
<interceptor-ref name="params">
<param name="excludeParams">dojo\..*,^struts\..*,.*\\u0023.*,.*\\x5Cu0023.*,.*\\x5cu0023.*</param>
</interceptor-ref>

总之就是要保证所有action都被应用了
<interceptor-ref name="params">
<param name="excludeParams">dojo\..*,^struts\..*,.*\\u0023.*,.*\\x5Cu0023.*,.*\\x5cu0023.*</param>
</interceptor-ref>
这个参数过滤器

你可能感兴趣的:(xml,struts,dojo)