前言 本文简要介绍了Apache Struts的OGNL注入缺陷，文章中介绍使用简单的应用程序复现OGNL注入。深入研究针对公共漏洞，并理解这类漏洞。 内容 安装Apache Tomcat服务器（入门） 熟悉Java应用程序在服务器上的工作方式（Web服务器基础知识） Struts应用程序示例（Struts应用程序示例） 表达语言注入（表达式语言注入） 了...
项目验收通过半年之后， 甲方找了一些网络砖家用工具扫描我司做的社保卡申领系统， 找到了struts2漏洞S2-046， 真是服了， 只知道struts2有bug， 现在才知道它漏洞。 砖家们给出了修复建议： 方法一：升级Struts2至Struts2.3.20.2，2.3.24.2，2.3.28.1版本修复该漏洞。（注：更新地址：https://cwik...
0x01Brief Description 最近面试几家公司，很多都问到了s2漏洞的原理，之前调试分析过java反序列化的漏洞，觉得s2漏洞应该不会太难，今天就分析了一下，然后发现其实漏洞的原理不难，但是搭建j2ee调试的环境花了将近半天的时间QAQ. Struts 是Apache软件基金会（ASF）赞助的一个开源项目，通过采用Ja...
Struts2 那些年可谓是风光无限啊，Struts2 + Spring + Hibernate 三大框架一起组成了 "SSH"————牛逼哄哄的 Java Web 框架三剑客。 SSH，有过几年工作经验的 Java 程序员应该都听说过吧？现在刚出来工作的小弟弟、小妹妹们应该很少有人了解它了。 但，那个还属于 SSH 风靡的年代，不管你是在学校学习，还是去...