Struts2 S2-020绕过漏洞 解决终极方案

［终极解决方案 2014.04.24 14:00］

事实证明之前公布的所有解决方案［包括其他公司及组织公布的］再次被无情的bypass了，我们最终选择了修改底层代码来实现防御。阿里云安全的安全专家‘空虚浪子心’再次分享了他的方法：

修改struts源码


com.opensymphony.xwork2.interceptor.ParametersInterceptor


搜索下面方法：

1.     public void setExcludeParams(String commaDelim) {
2.         Collection<String> excludePatterns = ArrayUtils.asCollection(commaDelim);
3.         if (excludePatterns != null) {
4.             excludeParams = new HashSet<Pattern>();
5.             for (String pattern : excludePatterns) {
6.                 excludeParams.add(Pattern.compile(pattern));
7.             }
8.         }
9.     }

修改为：

1.     public void setExcludeParams(String commaDelim) {
2.         Collection<String> excludePatterns = ArrayUtils.asCollection(commaDelim);
3.         if (excludePatterns != null) {
4.             excludeParams = new HashSet<Pattern>();
5.             for (String pattern : excludePatterns) {
6.                 excludeParams.add(Pattern.compile(pattern));
7.             }
8.         }
9.         //s021 zhenzheteng
10.         Pattern s021_1 = Pattern.compile("(.*\\.|^)class\\..*",Pattern.CASE_INSENSITIVE);
11.         Pattern s021_2 = Pattern.compile(".*'class'.*",Pattern.CASE_INSENSITIVE);
12.         Pattern s021_3 = Pattern.compile("(.*\\.|^)class\\[.*",Pattern.CASE_INSENSITIVE);
13.         excludeParams.add(s021_1);
14.         excludeParams.add(s021_2);
15.         excludeParams.add(s021_3);
16.     }

 

 防止对方删除，自己做笔记，源地址是http://bbs.anquan.org/forum.php?mod=viewthread&tid=40548&page=1&extra=#pid86828

 

 

先试试替换最终版本xwork-core-2.3.16.1.jar 不行 再使用以上 代码修改。