Struts漏洞修补过程之S2-016

Struts漏洞修补过程之S2-016。邪恶的Struts再次现身，这一次是远程执行漏洞。官方建议立即升级到2.3.15.1。真希望这是最后一次漏洞修补。下面是升级步骤。1.升级到struts2.3.15.1，需要导入的包asm-3.3.jar
asm-commons-3.3.jar
asm-tree-3.3.jar
commons-fileupload-1.2.2.jar
commons-io-2.0.1.jar
commons-lang3-3.1.jar
freemarker-2.3.19.jar
javaassist-3.11.0.GA.jar
ognl-3.0.6.jar
struts2-core-2.3.15.1.jar
xwork-core-2.3.15.1.jar可以从这里下载2.3.15.1的struts，这里2.修改web.xml，解决启动后的报错问题，为避免tomcat启动后，频繁提示“FilterDispatcher is now deprecated” 的错误信息，需要修改web.xml文件。去除对org.apache.struts2.dispatcher.FilterDispatcher的引用，改为下面的样子：<filter>
<filter-name>struts2</filter-name>
<filter-class>org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter</filter-class>
</filter>3.自己建立xwork-2.0.dtd文件，解决运行时错误。如果运行时，还发生如下错误的话， ... 35 more
Caused by: java.io.FileNotFoundException: http://www.opensymphony.com/xwork/xwork-2.0.dtd
at sun.net.www.protocol.http.HttpURLConnection.getInputStream（HttpURLConnection.java:1303）就需要，建立自己的xwork-2.0.dtd文件。原因是 http://www.opensymphony.com/xwork 这个路径不存在了。一个解决办法是，在服务器上配置一个HTTP服务器，例如IIS或者Apache，然后建立xwork目录和xwork-2.0.dtd文件，然后，修改本机的hosts文件，加入一条DNS记录，把www.opensymphony.com指向本机IP。做完这几步，就OK了。可以试试服务是否能够正常运行了。参考：1.http://stackoverflow.com/questions/14278258/struts2-hello-world-jsp-example-error2.http://got-code.blogspot.com/2011/06/javaiofilenotfoundexception.html3.http://struts.apache.org/release/2.3.x/docs/s2-016.html相关阅读：Apache Struts多个前缀参数远程命令执行漏洞（CVE-2013-2251） http://www.linuxidc.com/Linux/2013-07/87491.htmApache Struts 多个开放重定向漏洞（CVE-2013-2248） http://www.linuxidc.com/Linux/2013-07/87490.htmStruts2 远程执行代码（S2-016）利用工具 http://www.linuxidc.com/Linux/2013-07/87541.htmStruts2漏洞解读：官方惹祸黑客攻防Dell OpenManage Server Administrator "file"参数开放重定向漏洞相关资讯 Struts漏洞 Struts漏洞修补

Apache Struts 访问限制绕过漏洞（（07月05日）
Apache Struts ActionServlet.java （07月05日）
Apache Struts 访问限制绕过漏洞（（07月05日）

Apache Struts 跨站请求伪造漏洞（（07月05日）
Apache Struts URLValidator类拒绝（07月05日）
Apache Struts REST插件任意代码执（07月05日）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款