Struts2 OGNL表达式注入漏洞解决

线上项目使用Struts2 版本2.3,需要升级版本,记录解决步骤,不确保其它项目都可以

pom.xml

<struts.version>2.5.30</struts.version>

<!-- struts相关库 -->
<dependency><groupId>org.apache.struts</groupId><artifactId>struts2-core</artifactId><version>${struts.version}</version>
</dependency>
<dependency><groupId>org.apache.struts</groupId><artifactId>struts2-config-browser-plugin</artifactId><version>${struts.version}</version>
</dependency>
<dependency><groupId>org.apache.struts</groupId><artifactId>struts2-spring-plugin</artifactId><version>${struts.version}</version>
</dependency>
<dependency><groupId>org.apache.struts</groupId><artifactId>struts2-json-plugin</artifactId><version>${struts.version}</version>
</dependency>

web.xml

<filter-class>org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter</filter-class>
替换成
<filter-class>org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter</filter-class>

struts.xml
2.1 > 2.5
package
添加 strict-method-invocation=“false” 属性
添加 global-allowed-methods
如下

<!DOCTYPE struts PUBLIC "-//Apache Software Foundation//DTD Struts Configuration 2.1//EN""http://struts.apache.org/dtds/struts-2.1.dtd">替换成
<!DOCTYPE struts PUBLIC "-//Apache Software Foundation//DTD Struts Configuration 2.5//EN" "http://struts.apache.org/dtds/struts-2.5.dtd">

<package name="root" extends="default" namespace="/" strict-method-invocation="false"><default-interceptor-ref name="myStack" /><global-allowed-methods>regex:.*</global-allowed-methods>
</package>

拦截器参数处理

Map<String, Object> parameters = invocation.getInvocationContext().getParameters();
ActionContext ac = invocation.getInvocationContext();
ValueStack stack = ac.getValueStack();
for (Map.Entry<String, Object> map : parameters.entrySet()) {Object[] obj = (Object[]) map.getValue();// 获取传入的参数值是否有非法，xss攻击stack.setValue(map.getKey(), xssEncode(obj[0].toString()));
}

修改为

HttpParameters parameters = invocation.getInvocationContext().getParameters();
ActionContext ac = invocation.getInvocationContext();
ValueStack stack = ac.getValueStack();
for (Map.Entry<String, Parameter> map : parameters.entrySet()) {Parameter obj = map.getValue();// 获取传入的参数值是否有非法，xss攻击stack.setValue(map.getKey(), xssEncode(obj.getValue()));
}

编译部署,启动成功

补充
网址访问存在 https 访问变为 http
需要再tomcat server.xml中修改这一部分

<Connector port="8081" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443"
URIEncoding="UTF-8"  secure="true" scheme="https" proxyPort="443"/>

Struts2 OGNL表达式注入漏洞解决相关推荐

SQL注入漏洞解决方法
本文只指针编码层次的SQL注入漏洞解决方法,例子代码是以java为主. 1,参数化的预编译查询语句不安全例子 String query = "SELECT account_balance ...
Spring Data MongoDB SpEL表达式注入漏洞安全风险通告第二次更新
奇安信CERT 致力于第一时间为企业级用户提供安全风险通告和有效解决方案. 安全通告近日,奇安信CERT监测到Spring Data MongoDB SpEL表达式注入漏洞(CVE-2022-229 ...
浅入深SpEL表达式注入漏洞总结
SpEL 简介在Spring 3 中引入了 Spring 表达式语言 (Spring Expression Language,简称SpEL), 这是一种功能强大的表达式语言,支持在运行时查询和操作对 ...
Spring Boot框架表达式注入漏洞
2019独角兽企业重金招聘Python工程师标准>>> 高危漏洞的曝光总是发生在意想不到的时刻:周末所有人都准备享受周末的时间,Spring Boot框架的SpEL表达式注入通用漏洞 ...
Struts2 ognl表达式
一.实验目的 1. 掌握OGNL表达式的语法结构 2. 掌握OGNL表达式获取Action中的相关值的方法. 3. 理解投影的含义. 二.实验内容创建业务控制类OgnlAction,测试基本属性.基 ...
struts2 OGNL表达式
一.OGNL OGNL是Object-Graph Navigation Language的缩写,全称为对象图导航语言,是一种功能强大的表达式语言,它通过简单一致的语法,可以任意存取对象的属性或者调用对 ...
Atlassian Confluence OGNL表达式注入代码执行漏洞（CVE-2021-26084）
环境搭建: 使用vulhub,进入文件夹启动环境: docker-compose up -d 环境启动后,访问http://your-ip:8090即可进入安装向导,参考CVE-2019-3396这个 ...
阿里云服务器漏洞phpmyadmin CVE-2016-6617 SQL注入漏洞解决方法
阿里云服务器漏洞phpmyadmin CVE-2016-6617如下图: 首先上网搜了下漏洞phpmyadmin CVE-2016-6617,有人这样回答的于是又开始搜phpmyadmin的升级 ...
java 代码执行el,专属于java的漏洞——EL表达式注入
前言"FSRC经验分享"系列文章,旨在分享焦点科技信息安全部工作过程中的经验总结,包括但不限于漏洞分析.运营技巧.sdl推行.等保合规.自研工具等等. 欢迎各位安全从业者持续关注~ ...

Struts2 OGNL表达式注入漏洞解决

Struts2 OGNL表达式注入漏洞解决

Struts2 OGNL表达式注入漏洞解决相关推荐

最新文章

热门文章