阿里云
社区时光机
发表主题 回复主题
  • 3412阅读
  • 1回复

[网络/安全]Struts2升级版本至2.5.10,高危漏洞又来了

级别: 论坛版主
发帖
3401
云币
8754

— 本帖被 不靠谱贝贝 设置为精华(2017-04-10) —
前情概要 RAs5<US:  
aGx[?}=  
漏洞年年有,最近特别多。2017年3月6日,Apache Struts2被曝存在远程命令执行漏洞,漏洞编号:S2-045,CVE编号:CVE-2017-5638,官方评级为高危,该漏洞是由于在使用基于Jakarta插件的文件上传功能条件下,恶意用户可以通过修改HTTP请求头中的Content-Type值来触发该漏洞,进而执行任意系统命令,导致系统被黑客入侵。 \Um &  
漏洞分析请移步:https://yq.aliyun.com/articles/72008 xE"QX N  
v K7J;U+cJ  
建议 a{y"vVQOF  
qJZ:\u8oO  
如果这个版本在Struts2.3.5 到 Struts2.3.31 以及 Struts2.5 到 Struts2.5.10之间则存在漏洞,请升级到struts 2.3.32或2.5.10.1版本(毕了狗了,公司还在用struts2)。 _yu_Ev}R  
由于目前使用版本是struts2-core-2.3.28,于是赶紧升了下级别,略过2.3 直接升级到2.5版本。 YsBOh{Ml  
RLE6=#4  
升级说明 TPi=!*$&  
79y'PFSms  
一、找不到类 ?E|be )  
  1. java.lang.ClassNotFoundException: org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter
lD]/Kx  
找不到那得多正常,查看了一下源码,2.5版本已变更了包路径。 {{+woL'C  
  1. <filter><filter-name>struts2</filter-name><filter-class>  org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter</filter-class></filter>
>VE!3'/'  
二、配置好了居然找不到Action VYAz0H1-_  
是不是有点怀疑人生了,赶紧去http://struts.apache.org/ struts2的官网扒拉扒拉。 e"u89acp  
  1. 由于版本跨度大,2.5版本升级了很多特性,在Struts 2.5中,严格DMI被扩展,它被称为严格方法调用 又名SMI。你可以想象DMI是一个“边境警察”,SMI是一个“税务警察”,并注意内部。使用此版本,SMI默认情况下启用(strict-method-invocation属性默认设置为 true在 struts-default包中),您可以选择禁用它每个包 - 没有全局开关禁用整个应用程序的SMI。SMI的工作原理如下:<allowed-methods> / @AllowedMethods 被定义每个动作 - SMI工作,而不打开它,但只是那些动作(加上<global-allowed-methods/>)SMI已启用,但没有<allowed-methods> / @AllowedMethods 被定义 - SMI工作,但只有<global-allowed-methods/>SMI已禁用 - 允许调用任何与默认RegEx匹配的操作方法 - ([A-Za-z0-9_$]*)您可以使用常量重新定义默认RegEx,如下所示 <constant name="struts.strictMethodInvocation.methodRegex" value="([a-zA-Z]*)"/>在操作定义中使用通配符映射时,SMI有两种方式:SMI被禁用 - 任何通配符将被替换为默认的RegEx,即:<action name="Person*" method="perform*">将被翻译成allowedMethod = "regex:perform([A-Za-z0-9_$]*)".启用S​​MI - 不会发生通配符替换,必须严格定义通过注释或<allowed-method/>标记可以访问哪些方法。
D/<;9hw  
+=JJ=F)  
也就是说你必须加入这个配置才可以,最好全局设置: 0'nY  
  1. <global-allowed-methods>regex:.*</global-allowed-methods>
R;3Tyn+  
三、package中元素顺序的问题元素类型为 "package" 的内容必须匹配 "(result-types?,interceptors?,default-interceptor-ref?,default-action-ref? .KX LWH  
出现此报错,你就要注意了,一定要检查package中 global-allowed-methods 的位置,然后按照报错指定顺序放置配置。 4)OM58e}  
iI@m e=  
四、可能会出现的问题 V.H<KyaJ  
如果你的项目中使用的是log4j而不是log4j2,那么问题就来了,你还需要加入log4j-api-2.7.jar 和log4j-core-2.7.jar,并且配置 log4j2.xml(暂且是个空的)。 QBwgI>zfS"  
  1. <?xml version="1.0" encoding="UTF-8"?><configuration status="error"><appenders></appenders><loggers><root level="info"></root></loggers></configuration>
OO  /Pc  
"i1r9TLc  
否则会一直报以下错误,至于为什么,还没深入了解。ERROR StatusLogger No log4j2 configuration file found. Using default configuration: logging only errors to the console. KU5|~1t 4  
好了,如果启动没有其他问题,应该就可以访问到久违的Action了。 |h{#r7H0  
:,*{,^2q:  
云栖社区: https://yq.aliyun.com/articles/72018 |j> fsk~  
XL2iK)A  
P+s-{vv{0  
dxwH C\"5  
[ 此帖被小柒2012在2017-03-13 21:50重新编辑 ]
级别: 新人
发帖
2
云币
4
只看该作者 沙发  发表于: 2017-03-20
ReStruts2升级版本至2.5.10,高危漏洞又来了
Struts2 漏洞 何时是个头啊~~~
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
批量上传需要先选择文件,再选择上传
 
验证问题: ECS是阿里云提供的什么服务? 正确答案:云服务器
上一个 下一个