今天晚上 中国互联网被Struts2漏洞血洗

Apache官方今天晚上发布安全公告(官方编号S2-032/CVE编号CVE-2016-3081)，Apache Struts2服务在开启动态方法调用(DMI)的情况下，可以被远程执行任意命令，安全威胁程度高。

这一漏洞影响的软件版本为2.3.20-2.3.28，不过2.3.20.2、2.3.24.2两个版本除外，建议尽快升级到相应的最新版本，并关闭DMI。

这是自2012年Struts2命令执行漏洞大规模爆发之后，该服务时隔四年再次爆发大规模漏洞。

截止目前，乌云漏洞报告平台已收到100多家网站的相关漏洞报告，其中银行占了很大比例。

目前已有多个版本的漏洞利用POC在互联网流传，分为命令执行版本与直接写入Web后门的版本。

乌云平台现在已经被该漏洞刷屏，据说后台还有100多个漏洞待审核，因此预计今天晚上会迎来该漏洞爆发的第一个小高峰，尤其是银行业恐怕会被血洗。

结合历史情况分析，该漏洞除了会影响银行与互联网企业(网易/多玩等)以外，还可能影响政府、证券、保险等行业，相关服务一定要提前做好安全应急与防范措施！

如果你在影响范围内，有两种解决方法：

1、禁用动态方法调用

修改Struts2的配置文件，将“struts.enable.DynamicMethodInvocation”的值设置为false，比如：

<constant name="struts.enable.DynamicMethodInvocation" value="false" />；

2、升级软件版本

如果条件允许，可升级Struts版本至2.3.20.2、2.3.24.2或者2.3.28.1，这几个版本都不存在此漏洞。

升级地址：https://struts.apache.org/download.cgi#struts23281

另附漏洞测试样例(无风险)：

http://d047ab33ccbe2dda8.jie.sangebaimao.com/struts2-showcase/filedownload/index.action?method:%2523_memberAccess%[email protected]@DEFAULT_MEMBER_ACCESS%252C%2523test%253D%2523context.get%2528%2523parameters.res%255B0%255D%2529.getWriter%2528%2529%252C%2523test.println%2528%2523parameters.command%255B0%255D%2529%252C%2523test.flush%2528%2529%252C%2523test.close%26res%3Dcom.opensymphony.xwork2.dispatcher.HttpServletResponse%26command%3D%2523%2523%2523Struts2%20S2-032%20Vulnerable%2523%2523%2523

摘自：http://m.mydrivers.com/newsview/479845.html

时间： 2024-10-11 04:19:39

今天晚上 中国互联网被Struts2漏洞血洗的相关文章

Struts2漏洞之S2-016漏洞分析与exp编写

 1.概述 S2-016是13年7月爆出的,那时候的我还没涉及Web安全研究.这次迟到的分析也算是对过去的补充.这个漏洞影响了Struts 2.3.15.1之前的所有版本.问题主要出在对于特殊URL处理中,redirect与redirectAction后面跟上Ognl表达式会被服务器执行. 2.漏洞分析 分析开源框架的漏洞还是从其源码入手,问题出在了DefaultActiionMapper上,这个类主要是用来处理一些灵活的URL调用,比如处理Action中动态调用方法的形式,如: http:

Struts2漏洞利用原理及OGNL机制

Struts2漏洞利用原理及OGNL机制研究   概述 在MVC开发框架中,数据会在MVC各个模块中进行流转.而这种流转,也就会面临一些困境,就是由于数据在不同MVC层次中表现出不同的形式和状态而造成的: View层-表现为字符串展示 数据在页面上是一个扁平的.不带数据类型的字符串,无论数据结构有多复杂,数据类型有多丰富,到了展示的时候,全都一视同仁的成为字符串在页面上展现出来.数据在传递时,任何数据都都被当作字符串或字符串数组来进行. Controller层-表现为java对象 在控制层,数据

struts2漏洞原理及解决办法

1.原理 Struts2的中心是运用的webwork结构,处置 action时号码大全经过调用底层的getter/setter办法来处置http的参数,它将每个http参数声明为一个ONGL(这里是ONGL的介绍)语句.当关键词挖掘工具咱们提交一个http参数: ?user.address.city=Bishkek&user['favoriteDrink']=kumys ONGL将它转换为: action.getUser().getAddress().setCity("Bishkek&q

struts2漏洞与修复

步骤: 1.下载struts-2.3.16.3-all, D:\TEST\struts2.3.16.3 2.替换jar,参考 http://blog.csdn.net/spyjava/article/details/13766335 3.修改web.xml     <filter>         <filter-name>struts2</filter-name>         <filter-class>org.apache.struts2.dispa

CCERT月报：Struts2漏洞已成高校网络安全顽疾（转）

Struts2漏洞已成高校网络安全顽疾 建议学校加大信息系统巡查力度 9月教育网运行正常,未发现影响严重的安全事件.近期安全形势较为严峻,学校要加大安全巡查的力度,对学校的信息系统进行排查,对于那些有严重安全隐患的信息系统必须及时采取技术措施进行防范,如果信息系统仅是对校内提供服务,建议采取校内限制访问的措施,来降低被攻击的风险. 近期新增严重漏洞评述: 1.微软9月的例行安全公告中修复了其多款产品存在的81个安全漏洞(严重等级的21个),涉及的产品包括,IE浏览器.Edge浏览器.Window

1、struts2漏洞利用小结

从今天开始,打算将自己的挖洞历程一点一滴给记录下来,从17年开始接触web渗透,学完了cracer17年的教程,看过网易公开课,目前在安全牛课堂学习kali渗透测试.心里其实很感慨,学了很多,感觉会得太少,到现在挖洞经验仍然为0 (想哭)T_T! 偶尔会很迷茫,自己到底学了了什么呢,学而不会有何用!!! 这是一个新的开始,以练代学,由浅入深,特以此系列献给和我曾经一样犯过迷茫的孩子. 闲话不说,进入正题吧,这些文章我会定期完善和补充,希望大家伙可以多多交流. 第一站,让我们来研究一下struts

再续服务器被肉鸡的经历-- struts2漏洞

[[email protected] ~]# cat myout.file  YAM - Yet Another Miner by yvg1900 yam M7v-linux64-core2/yvg1900 ********************************************************************************************************** * Supported coins: PTS MMC MAX GRS DMD 

Struts2漏洞分析与研究之S2-005漏洞分析

 转载请注明出处:http://blog.csdn.net/u011721501?viewmode=list 1.概述 S2-005是由于官方在修补S2-003不全面导致绕过补丁造成的.我们都知道访问Ognl的上下文对象必须要使用#符号,S2-003对#号进行过滤,但是没有考虑到unicode编码情况,导致\u0023或者8进制\43绕过. S2-005则是绕过官方的安全配置(禁止静态方法调用和类方法执行),再次造成漏洞. Payload如下: http://www.xxxx.com/aaa

Struts2漏洞修复方案

近期Struts2被曝重要漏洞,此漏洞影响struts2.0-struts2.3所有版本,可直接导致服务器被远程控制从而引起数据泄漏,影响巨大,受影响站点以电商.银行.门户.政府居多. 官方描述:S2-016:https://cwiki.apache.org/confluence/display/WW/S2-016S2-017:https://cwiki.apache.org/confluence/display/WW/S2-017 官方建议修复方案:升级到最新版本 struts-2.3.15.