快改密码!Struts2漏洞引爆网站“泄密门”
新闻来源：http://net.chinabyte.com/24/12666524.shtml
日前，Apache Struts2发布漏洞公告，称其Struts2 Web应用框架存在一个可以远程执行任意命令的高危漏洞。利用该漏洞，黑客可轻易攻陷网站服务器，获取网站注册用户的帐号密码和个人资料，而Struts2框架正广泛应用在国内大量知名网站上，包括各大门户、电商、银行等官网也受其影响。360互联网安全中心为此发出红色警报，呼吁相关网站尽快更新Struts2漏洞补丁，或开启360网站卫士防范攻击。
据360安全专家石晓虹博士介绍，由于Struts2属于底层框架，其漏洞影响范围广、利用难度低，“菜鸟”也可以使用攻击工具直接控制网站服务器，盗取用户数据库，甚至导致2011年底多家网站“密码库”泄露事件再次上演。
目前，网络上已开始一些自动化、傻瓜化的Stuts2漏洞攻击软件，只要在软件中填写存在Struts2漏洞的网站地址，即可直接执行服务器命令，读取网站数据或让服务器关机等操作。而不幸的是，国内大批网站均存在该漏洞，甚至连Stuts2之前的老漏洞尚未修复，从而将网站注册用户信息赤裸裸地暴露在黑客攻击枪口面前。
石晓虹博士建议，广大网站应尽快自查漏洞、安装Apache官网补丁程序，也可使用360网站卫士防范漏洞攻击。对普通网民来说，近期最好更换一下常用网络帐号的密码，重要帐号密码应单独设置，以免网站密码库泄露危及自身帐号安全。
附：Struts2高危漏洞分析
此漏洞影响Struts2.0-Struts2.3所有版本，可直接导致服务器被黑客远程控制，从而引起数据泄露。漏洞根源在于，DefaultActionMapper类支持以"action:"、"redirect:"、"redirectAction:"作为导航或是重定向前缀，但是这些前缀后面同时可以跟OGNL表达式，由于struts2没有对这些前缀做过滤，导致利用OGNL表达式调用java静态方法执行任意系统命令。
这里以“redirect:”前缀举例，struts2会将“redirect:”前缀后面的内容设置到redirect.location当中，如图所示：
key.substring(REDIRECT_PREFIX.length())便是前缀后面的内容也就是OGNL表达式，struts2会调用setLocation方法将他设置到redirect.location中。然后这里调用mapping.setResult(redirect)将redirect对象设置到mapping对象中的result里，如图所示：
然而上面的过程只是传递OGNL表达式，真正执行是在后面，这里是在FilterDispatcher类中的dispatcher.serviceAction()方法，
这里跟入方法最终会在TextParseUtil这个类的调用stack.findValue()方法执行OGNL。
快改密码!Struts2漏洞引爆网站“泄密门”相关推荐
- 重要 | 网易邮箱被爆数据泄露，快改密码！！
近日,陆续有用户在微博上爆料网易邮箱被暴力破解,绑定网易邮箱的Apple ID被锁,iPhone数据被清空,包括微博.支付宝.百度云盘.游戏等受影响. 10月18日,@网易免费邮箱在新浪微博发表官方声 ...
- struts2 漏洞分析 及解决办法
1.讨论关于struts 安全问题. 2.黑客文化. 3.如何降低安全漏洞的出现. 4.忠告建议. 题记: 这篇文章本来很早应该和大家见面的,中间由于个人原因调整了系列文章发布时间,实属罪过.为了不误 ...
- Struts2漏洞为互联网带来严重安全风险
http://www.cac.gov.cn/2014-04/30/c_1112077812.htm Struts2漏洞为互联网带来严重安全风险 2014年04月30日 14:37:50来源: 工业和信 ...
- Struts2漏洞和Struts Scan工具实战
一.Apache Struts 2漏洞背景 1.漏洞详情 2017年3月6日,Apache Struts 2被曝存在远程命令执行漏洞.在使用基于Jakarta插件的文件上传功能条件下,恶意用户可以通过 ...
- XSS漏洞利用---PHPMyWind 任意密码重置漏洞
[漏洞详情] 1.PHPMyWind是一套基于PHP和MySQL并符合W3C标准的企业网站建设解决方案,拥有着较大的用户群体(根据PHPMyWind官网介绍,已下载超15万次),受影响的版本是5.3- ...
- 逻辑漏洞之密码找回漏洞（semcms）
目录 什么是密码找回漏洞 一般流程 可能产生该漏洞的情况 脑洞图 1.用户凭证暴力破解 2.返回凭证 3.邮箱弱token 4.用户凭证有效性 5.重新绑定 6.服务器验证 7.用户身份验证 8.找回 ...
- 浅谈struts2漏洞（检测工具及S2-052漏洞及漏洞平台的搭建复现）
简介: struts2是apache项目下的一个web框架,主要应用于各类门户网站,而相对应的漏洞则是从2007年7月23日发布的第一个Struts2漏洞S2-001到2018年的S2-057,跨度还 ...
- 一个可大规模悄无声息窃取淘宝/支付宝账号与密码的漏洞 -（埋雷式攻击附带视频演示）
一个可大规模悄无声息窃取淘宝/支付宝账号与密码的漏洞 -(埋雷式攻击附带视频演示) http://drops.wooyun.org/papers/1426 gainover · 2014/04/17 ...
- DeDeCMS v5.7 SP2 正式版 前台任意用户密码修改漏洞复现
文章目录 简介 漏洞限制 影响版本 复现环境 工具准备 一.搭建网站 二.打开服务器代理 三.复现过程 注意 简介 织梦内容管理系统(DedeCms) [1] 以简单.实用.开源而闻名,是国内 最知名 ...
最新文章
- 【图像处理】Haar-like特征
- 苹果手机显示iphone已停用连接itunes_iphone忘记密码怎么办 iphone忘记密码解决方法【详细步骤】...
- Wings-让单元测试智能全自动生成
- scala 函数定义
- HttpClient 教程 (六)
- 《数据库系统概论》期末复习速成
- 网络远程控制原理及技术实现
- Python中in和has_key的性能比较
- 黑马瑞吉外卖项目开发笔记
- 最新速卖通提前放款服务解读，帮助商家减轻资金压力！
- VS2015无法新建项目错误及解决方法：无法打开“……/VC?VCWizards/default.vcxproj”因为此版本的应用程序不支持其项目类型（.vcxproj）
- elasticsearch for windows
- 我是一名资深程序员，而今天我又多了一个创业者的身份（2）
- Origin批量滤波
- 使用163邮箱发送邮件、HTML、附件、图片
- 物联网平台搭建的全过程介绍（三）阿里云物联网设备接入订阅发布之Android studio例程
- 【转载】Android开发时，那些相见恨晚的工具或网站！
- 动力环境监控系统的必要性及功能作用！
- rJava install error “JAVA_HOME cannot be determined from the Registry“
- tcp_tw_reuse对客户端的作用