阿里云
云栖大会资料下载
发表主题 回复主题
  • 2671阅读
  • 1回复

[网络/安全]Struts2升级版本至2.5.10,高危漏洞又来了

级别: 论坛版主
发帖
3385
云币
8689

— 本帖被 不靠谱贝贝 设置为精华(2017-04-10) —
前情概要 Lq<#  
#m [R1G#  
漏洞年年有,最近特别多。2017年3月6日,Apache Struts2被曝存在远程命令执行漏洞,漏洞编号:S2-045,CVE编号:CVE-2017-5638,官方评级为高危,该漏洞是由于在使用基于Jakarta插件的文件上传功能条件下,恶意用户可以通过修改HTTP请求头中的Content-Type值来触发该漏洞,进而执行任意系统命令,导致系统被黑客入侵。 ZqH.$nXP  
漏洞分析请移步:https://yq.aliyun.com/articles/72008 [S;ceORx  
o|FjNL  
建议 I(!i"b9  
AlF"1X02  
如果这个版本在Struts2.3.5 到 Struts2.3.31 以及 Struts2.5 到 Struts2.5.10之间则存在漏洞,请升级到struts 2.3.32或2.5.10.1版本(毕了狗了,公司还在用struts2)。 y}Ji( q~  
由于目前使用版本是struts2-core-2.3.28,于是赶紧升了下级别,略过2.3 直接升级到2.5版本。 \2F{r<A\@  
nKpXRuFn\  
升级说明  1$nlRQi  
x{y}pH"H  
一、找不到类 m X2i^.zH  
  1. java.lang.ClassNotFoundException: org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter
\~u7 k  
找不到那得多正常,查看了一下源码,2.5版本已变更了包路径。 `F-<P%k  
  1. <filter><filter-name>struts2</filter-name><filter-class>  org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter</filter-class></filter>
OI:G~Wg  
二、配置好了居然找不到Action t+7|/GLs2  
是不是有点怀疑人生了,赶紧去http://struts.apache.org/ struts2的官网扒拉扒拉。 RN2^=$'.  
  1. 由于版本跨度大,2.5版本升级了很多特性,在Struts 2.5中,严格DMI被扩展,它被称为严格方法调用 又名SMI。你可以想象DMI是一个“边境警察”,SMI是一个“税务警察”,并注意内部。使用此版本,SMI默认情况下启用(strict-method-invocation属性默认设置为 true在 struts-default包中),您可以选择禁用它每个包 - 没有全局开关禁用整个应用程序的SMI。SMI的工作原理如下:<allowed-methods> / @AllowedMethods 被定义每个动作 - SMI工作,而不打开它,但只是那些动作(加上<global-allowed-methods/>)SMI已启用,但没有<allowed-methods> / @AllowedMethods 被定义 - SMI工作,但只有<global-allowed-methods/>SMI已禁用 - 允许调用任何与默认RegEx匹配的操作方法 - ([A-Za-z0-9_$]*)您可以使用常量重新定义默认RegEx,如下所示 <constant name="struts.strictMethodInvocation.methodRegex" value="([a-zA-Z]*)"/>在操作定义中使用通配符映射时,SMI有两种方式:SMI被禁用 - 任何通配符将被替换为默认的RegEx,即:<action name="Person*" method="perform*">将被翻译成allowedMethod = "regex:perform([A-Za-z0-9_$]*)".启用S​​MI - 不会发生通配符替换,必须严格定义通过注释或<allowed-method/>标记可以访问哪些方法。
TKJs'%Q7F6  
2ZUI~:U Z  
也就是说你必须加入这个配置才可以,最好全局设置: x -CTMKX  
  1. <global-allowed-methods>regex:.*</global-allowed-methods>
Z',Z7QW7  
三、package中元素顺序的问题元素类型为 "package" 的内容必须匹配 "(result-types?,interceptors?,default-interceptor-ref?,default-action-ref? v__n>*x  
出现此报错,你就要注意了,一定要检查package中 global-allowed-methods 的位置,然后按照报错指定顺序放置配置。 kF{'?R5 w  
ppL*#/jYt  
四、可能会出现的问题 c:? tn  
如果你的项目中使用的是log4j而不是log4j2,那么问题就来了,你还需要加入log4j-api-2.7.jar 和log4j-core-2.7.jar,并且配置 log4j2.xml(暂且是个空的)。 (@wgNA-P  
  1. <?xml version="1.0" encoding="UTF-8"?><configuration status="error"><appenders></appenders><loggers><root level="info"></root></loggers></configuration>
 rvP Y  
l;F\s&^  
否则会一直报以下错误,至于为什么,还没深入了解。ERROR StatusLogger No log4j2 configuration file found. Using default configuration: logging only errors to the console. V\Q=EsHj   
好了,如果启动没有其他问题,应该就可以访问到久违的Action了。 ",&^ f  
PD,s,A  
云栖社区: https://yq.aliyun.com/articles/72018 e'"2yA8dh"  
7I\qEr57  
QlxzWd3=q  
(tG8HwV-  
[ 此帖被小柒2012在2017-03-13 21:50重新编辑 ]
级别: 新人
发帖
2
云币
4
只看该作者 沙发  发表于: 03-20
ReStruts2升级版本至2.5.10,高危漏洞又来了
Struts2 漏洞 何时是个头啊~~~
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
批量上传需要先选择文件,再选择上传
 
验证问题: 91 + 8 = ?
上一个 下一个