灾难日：中国互联网惨遭Struts2高危漏洞摧残

Struts是Apache基金会Jakarta项目组的一个开源项目，Struts通过采用Java Servlet/JSP技术，实现了基于Java EE Web应用的Model-View-Controller（MVC）设计模式的应用框架，是MVC经典设计模式中的一个经典产品。目前，Struts广泛应用于大型互联网企业、政府、金融机构等网站建设，并作为网站开发的底层模板使用，是应用最广泛的Web应用框架之一。

近日，Struts2曝出2个高危安全漏洞，一个是使用缩写的导航参数前缀时的远程代码执行漏洞，另一个是使用缩写的重定向参数前缀时的开放式重定向漏洞。这些漏洞可使黑客取得网站服务器的“最高权限”，从而使企业服务器变成黑客手中的“肉鸡”。

Apache Struts团队已发布了最新的Struts 2.3.15.1，修复了上述漏洞，建议采用Struts 2.0至Struts 2.3的网站开发者尽快升级至最新版。

据乌云平台漏洞报告，淘宝、京东、腾讯等大型互联网厂商均受此影响，而且漏洞利用代码已经被强化，可直接通过浏览器的提交对服务器进行任意操作并获取敏感内容。Struts漏洞影响巨大，受影响站点以电商、银行、门户、政府居多，而且一些自动化、傻瓜化的利用工具开始出现，填入地址可直接执行服务器命令，读取数据甚至直接关机等操作。

灾难日：中国互联网惨遭Struts2高危漏洞摧残

最后再次提醒广大网站管理员，尽快将Struts 2升级到最新的2.3.15.1版本。

Struts 2.3.15.1官方下载：http://struts.apache.org/download.cgi#struts23151相关阅读：Apache Struts多个前缀参数远程命令执行漏洞（CVE-2013-2251） http://www.linuxidc.com/Linux/2013-07/87491.htmApache Struts 多个开放重定向漏洞（CVE-2013-2248） http://www.linuxidc.com/Linux/2013-07/87490.htmStruts2 远程执行代码（S2-016）利用工具 http://www.linuxidc.com/Linux/2013-07/87541.htmStruts2再爆远程代码执行漏洞（S2-016）Oracle Database Server本地安全漏洞（CVE-2013-3760）相关资讯 Struts2

Struts2数据验证机制（今 10:42）
ssh（sturts2_spring_hibernate）框（09月07日）
Struts2 声明式异常处理（07月13日）

Struts2数据校验（今 10:39）
Struts2一个实例中遇到的问题（07月14日）
Apache Struts method: prefix任意（04月27日）

本文评论查看全部评论（0）