Struts2官方再曝两枚高危漏洞（目前暂无POC）
- - FreeBuf.COM | 关注黑客与极客Struts2前段时间才爆出了 s2-032的高危漏洞，当时导致全球使用Struts2架构的网站几乎无一幸免于这场安全灾难. 但就在6月1日，这个全球儿童欢乐的节日，Struts官网再次公布了一个安全威胁公告——公告中说明Struts2又曝出了两枚漏洞，编号s2-033和s2-034. 在使用REST插件并开启动态方法调用时，可导致远程代码执行.
Struts2官方再曝两枚高危漏洞（目前暂无POC）
标签：
漏洞
| 发表时间：2016-06-05 00:04 | 作者：dkive
出处：http://www.freebuf.com
Struts2前段时间才爆出了 s2-032的高危漏洞，当时导致全球使用Struts2架构的网站几乎无一幸免于这场安全灾难。但就在6月1日，这个全球儿童欢乐的节日，Struts官网再次公布了一个安全威胁公告——公告中说明Struts2又曝出了两枚漏洞，编号s2-033和s2-034。
s2-033
漏洞概要
在使用REST插件并开启动态方法调用时，可导致远程代码执行。
对象：所有使用Struts2的开发者和用户
漏洞类型：远程代码执行
危害等级：高危
建议：禁用动态方法调用，或者升级到struts 2.3.20.3，struts 2.3.24.3或struts 2.3.28.1。
受影响的版本：struts 2.3.20 – strutsStruts 2.3.28（除了2.3.20.3和2.3.24.3）
漏洞提交方：Alvaro Munoz alvaro dot munoz at hpe dot com
CVE编号：
CVE-2016-3087
出现问题
当使用了REST插件并启用动态方法调用时，可通过恶意表达式在服务器端执行任意代码。
解决方案
禁用动态方法调用，或者升级到Struts版本2.3.20.3，2.3.24.3或2.3.28.1.
官网原文
s2-034
漏洞概要
对象：所有使用Struts2的开发者和用户
漏洞类型：可能导致拒绝服务攻击
危害等级：重要
建议：推出的新版本Struts已经解决了这个问题，只要是使用OGNL 3.0.12将不会受到影响。
受影响的版本：Struts 2.0.0 – Struts2.3.24.1
漏洞提交方：TaoWang wangtao12 at baidu dot com – Baidu Security Response Center
CVE编号：
CVE-2016-3093
出现问题
利用Apache Struts框架中的OGNL表达式来实现调用存储在缓存中的方法，可发动拒绝服务攻击导致网站无法访问。
解决方案
请将OGNL版本升级到3.0.12以上，或者更新你的Struts版本。
官方原文
*本文投递作者：dkive，转载须注明来自FreeBuf黑客与极客（FreeBuf.COM）
相关 [struts2 官方 漏洞] 推荐：
struts2框架XSLTResult本地文件代码执行漏洞
- - IT技术博客大学习标签： struts2 XSLTResult. 这是个没有人公布过的漏洞，偶尔看代码发现的. 事实上，这段代码用的人不多，需要同时满足两个情况，才可以搞. 我猜测，发出struts2远程代码执行的那个大牛，不可能没发现这么弱智的漏洞. 所以，要么是有原因不能公布，要么就是卖了，那就好，这次我首发，哈哈哈.
Struts2再曝S2-020补丁绕过漏洞 – 万恶的正则表达式
- - FreeBuf.COM4月24日，网络曝出文章“安全研究人员指出Apache Struts2在漏洞公告S2-020里，在处理修复CVE-2014-0094的漏洞修补方案存在漏洞，导致补丁被完全绕过. Apache Struts 2.0.0-2.3.16版本的默认上传机制是基于Commons FileUpload 1.3版本，其附加的ParametersInterceptor允许访问'class' 参数（该参数直接映射到getClass()方法），并允许控制ClassLoader.
漏洞分析：Struts2 S2-020在Tomcat 8下的命令执行分析
- - Seay's blog 网络安全博客Struts S2-020这个通告已经公布有一段时间了. 目前大家都知道这个漏洞可以造成DOS、文件下载等危害，相信各大厂商也已经采取了相应的安全措施. 今天是和大家分享一下对这个漏洞的一点研究，包括如何在Tomcat 8下导致RCE，目的是抛砖引玉，有不足之处欢迎大家指出. 这个漏洞分析的一个难点在于：通过ognl的class.xx这种方式来遍历属性时，得到的是实际运行环境中的动态class，因此仅作静态分析是很困难的.
Spring MVC 和 Struts2
- - CSDN博客架构设计推荐文章Web层面的框架学习了三个Struts1和2，SpringMVC，那他们之间肯定存在一个优劣和适用的环境，Struts1和2的异同点我已经做过对比《 Struts1和Struts2》，这篇将对比下Struts2和SpringMVC的异同，下面数据基本来源于网络，本人是搜集整理所得，供大家参考. 一个项目使用什么样的技术，决定的因素很多，我所能想到的有：对系统的性能、开发的效率、团队学习的成本、业务场景等，下面尽量从这几个方面入手，来分析比较下他们之间存在的优劣.
struts2的标签tag
- - CSDN博客编程语言推荐文章二、 常用的Struts 2.0的标志（Tag）介绍. 在上一篇文章《 为Struts 2.0做好准备》中，我过于详细地介绍了Struts 2.0开发环境和运行环境的配置，所以，本文很少涉及的以上两方面的细节. 如果，您看完《 为Struts 2.0做好准备》后，还有什么不明白，或者没法运行文中例子，请联系我.
Struts2常用标签总结
- - CSDN博客推荐文章1．Struts2的作用 . Struts2标签库提供了主题、模板支持，极大地简化了视图页面的编写，而且，struts2的主题、模板都提供了很好的扩展性. Struts2允许在页面中使用自定义组件，这完全能满足项目中页面显示复杂，多变的需求. Struts2的标签库有一个巨大的改进之处，struts2标签库的标签不依赖于任何表现层技术，也就是说strtus2提供了大部分标签，可以在各种表现技术中使用.
Struts2 标签库讲解
- - CSDN博客架构设计推荐文章Struts2 标签库讲解. 转自：http://blog.163.com/hzd_love/blog/static/131999881201082111852520/. 要使用Struts2的标签,只需要在JSP页面添加如下一行定义即可：. struts2的标签共分为五大类：. 1）条件标签：用于执行基本的条件流转.
struts1，struts2，springMVC终极对比
- - CSDN博客Web前端推荐文章 最近做项目用到了struts2，之前一直是用struts1和springMVC. 感觉到了struts2从很大程度上和这两个还是有很大区别的，所以今天搜集了些资料，给他们做一下对比. Struts1官方已经停止更新，现在用的也比较少，这里主要讲一下struts2和struts1比较都有哪些不同和进步.
Struts2中Action自动接收参数
- - CSDN博客架构设计推荐文章Struts2中Action接收参数的方法主要有以下三种：. 1.使用Action的属性接收参数：(通过属性驱动式). a.定义：在Action类中定义属性，创建get和set方法；. b.接收：通过属性接收参数，如：userName；. c.发送：使用属性名传递参数，如：user1!add?userName=Magci；.