一漏洞介绍 Struts 2是一个用于开发企业级Java Web应用程序的开源框架然而，该框架曾被曝存在一个 。
首先 ，连接靶场 ，利用工具进行漏洞检测其次，利用工具模拟攻击 ，了解漏洞操作流程5 安全建议 为避免风险 ，建议升级到安全版本Struts2 2332或如果不方便升级，可以临时采取措施 ，如修改strutsxml配置 ，增加ContentType内容的过滤，以减少漏洞影响通过本次靶场学习 ，我们更深入地 。
Struts是Apache基金会提供的开源项目 ，基于Java ServletJSP技术实现的MVC设计模式Web应用框架，广泛应用在政府公安交通金融和运营商的网站中，是广泛使用的Web框架之一近期 ，Struts 235至2331及25至2510版本被发现存在远程命令执行漏洞编号S2045 ，CVE20175638，恶意用户可能。
Struts2是一个基于MVC设计模式的Web应用框架 ，尽管现在使用的人较少 ，但部分公司的旧项目可能仍在使用此框架Apache官方发布了关于Struts2存在远程代码执行漏洞的风险通告CVE2021，远程攻击者可利用该漏洞对受影响服务器实施远程攻击 ，导致任意代码执行 ，进而控制目标系统受影响的版本范围为Struts 。
二受影响版本 Struts 235 至 Struts 2331Struts 25 至 Struts 2510这些版本中的 Struts 框架存在安全漏洞，使得攻击者能够利用该漏洞进行远程代码执行因此 ，使用这些版本的 Struts 框架的系统和应用程序都面临严重的安全风险三环境搭建 为了复现和测试该漏洞 ，可以在 Kali Linux 。
关联分析添加规则“L2_Apache_Struts2远程代码执行漏洞利用”，通过设备告警日志发现攻击行为将可疑行为。
一漏洞成因与影响根本原因Struts2 REST插件使用XStreamHandler进行反序列化时 ，未对XStream实例的输入类型进行任何过滤或限制XStream在解析XML数据时 ，若数据中包含恶意构造的Java对象序列化内容，可直接触发反序列化漏洞，导致攻击者注入并执行任意代码漏洞编号CVE20179805官方漏洞库编号 ，Struts 。
我们知道这个漏洞是Struts2默认解析上传文件的ContentType头的过程中出现的问题struts2如果解析这个头出错 ，就会执行错误信息中的OGNL代码该漏洞危害非常大，而且利用成功率高甚至不需要找上传点 ，自己构造上传包就可以利用 ，进行远程命令执行权限自然也基本上属于服务权限，因为你的命令代码是web服务器帮 。
图Struts 2漏洞示意图 ，来源网络当前风险与用户责任京东称 ，绝大多数用户已根据提示完成账号安全。
本文来自作者[恭喜发财]投稿，不代表华智号立场，如若转载，请注明出处：https://www.bjxhzyykj.cn/miao/7985.html
评论列表（4条）
我是华智号的签约作者“恭喜发财”！
希望本篇文章《struts2漏洞攻击(struts2企业级开发)》能对你有所帮助！
本站[华智号]内容主要涵盖：华智号,生活百科,小常识,生活小窍门,百科大全,经验网
本文概览：一漏洞介绍Struts2是一个用于开发企业级JavaWeb应用程序的开源框架然而，该框架曾被曝存在一个。首先...