2024年3月18日发(作者：)

struts2 漏洞原理

Struts2 是一种开放源代码的 Java Web 应用框架，

被广泛应用于构建 Web 应用程序。然而，Struts2 框架的

一个漏洞却给许多应用程序带来了安全隐患。本文将解释

Struts2 漏洞的原理，并提供对于修复漏洞的一些方法。

Struts2 框架漏洞的原理

Struts2 框架漏洞源于框架自身的设计缺陷。设计缺

陷使得攻击者可以利用恶意的输入来欺骗 Struts2 框架，

从而在应用程序中执行任意的代码。这种攻击就被称为

“远程代码执行攻击”（ Remote Code Execution

Attack ）。

Struts2 框架的漏洞主要是由于以下两点原因所导致

的：

· Struts2 使用了 OGNL (Object-Graph Navigation

Language) 来解析 EL (Expression Language) 表达式，

但没有正确地对表达式进行过滤，这使得恶意行为成为可

能。

· Struts2 框架中的相当一部分功能是通过拦截器来

实现的。攻击者可以利用 Struts2 框架中的拦截器漏洞，

绕过应用程序的权限控制来访问关键数据或者执行任意代

码。

这两点都是 Struts2 框架漏洞的主因。攻击者可以利

用这两个漏洞来构建恶意的请求，并欺骗 Struts2 框架来

执行恶意代码。

导致 Struts2 漏洞的例子

为了更好地理解 Struts2 漏洞，可以通过一些例子来

说明。以下是一些可能导致 Struts2 框架漏洞的例子：

· 未正确过滤用户输入。比如在 Struts2 编译以数

据表格为基础的应用程序时，如果没有过滤 script 标

记，那么攻击者就可以通过执行JavaScript来远程控制代

码，这就是远程代码执行攻击。

· XML SSI 漏洞。攻击者可以通过将恶意代码嵌入到

XML 消息中来利用该漏洞。此漏洞允许攻击者利用

Struts2 使用 XML 包含的注入布局中的初始资源解析器来

绕过安全检查并完成任意文件读取/写入操作。

· 命令注入漏洞。命令注入漏洞是通过通过恶意包含

特定字符来执行命令来攻击 Struts2 的。Struts2 中还有

一些其他漏洞，例如 Shell Shock 和反序列化漏洞，可以

导致 Struts2 应用程序资产的损失，例如密码和敏感信息

泄露等。

如何修复 Struts2 漏洞

为了修复 Struts2 漏洞，开发者需要采用以下方法：

· 修复 OGNL 漏洞。为了修复这一漏洞，应该在验证

表单数据、放置动态标记、处理请求参数时进行输出过滤

和编码。否则，可以通过绕过这些验证来提交隐蔽注入。

另外，开发人员可以使用 Web 应用程序防火墙来防止该漏

洞的攻击。

· 修复拦截器漏洞。开发人员应该检查是否使用了默

认 Struts2 拦截器，因为这些拦截器是容易受到攻击的。

应该使用专门的拦截器，如 Struts2 的预定义拦截器，来

实现相应的功能。此外，在开发 Struts2 应用程序时，需

进行安全审计和测试，以确保应用程序没有安全漏洞。

结论

Struts2 漏洞是一个比较严重的问题。由于 Struts2

框架的广泛应用，许多应用程序都受到了漏洞的影响。为

了解决 Struts2 漏洞问题，开发人员应该遵循最佳安全实

践，并采取有效的安全措施。这些包括漏洞修复、输出过

滤和编码、使用专门的拦截器等。同时，开发人员应该进

行安全审计和测试，以发现漏洞并进行修复。