Struts2 这玩意儿东西巨大家得dou晓得吧， 就是一个JavaZuo网站用的框框，hen许多老项目dou在用。它用起来挺方便，但是平安这块真实的是有点头疼。基本上原因是它本身有问题， 也有hen许多人用的时候写的不对，就轻巧松被黑掉，弄得人家Neng直接跑你服务器上的命令，或者把数据库的东西全偷走。所以弄清楚它到底会出啥毛病，先弄明白怎么回事，是hen关键的第一步。下面我就随便说说我晓得的一些情况，不一定全对，巨大家参考一下就优良。

先轻巧松说下 Struts 是个啥玩意

   说白了 Struts 就是一套帮你处理网页求的工具。你浏览器发个求过来它帮你分发到对应的 action 里去处理，然后再返回页面。它里面有个东西叫 OGNL，这玩意儿名字听着挺高大巨大上，其实就是用来取值的一个表达式语言。你Neng在页面里写 ${user.name} 之类的，它就会帮你去找值。但是问题就出在这里 Ru果你不注意过滤，直接把用户传来的东西塞进去，那别人就Neng写一堆乱七八糟的代码进去，让服务器乖乖照Zuo。这玩意儿设计本来是为了方便，后来啊就成了Zui巨大的坑。

   而且hen许多公司用的版本特别老，dou几年没geng新鲜了。他们觉得Neng用就行，不想动。其实这就是Zui凶险的地方，基本上原因是官方早就修优良的洞，你还在用老版，那就等于自己送门给黑客敲。

RCE远程代码施行 这玩意儿Zui吓人

   RCE 也就是远程代码施行， 说人话就是黑客不用登录你的电脑，直接通过浏览器发个包就Neng在你的服务器上跑命令。这玩意儿是Zui要命的一种。一般dou是基本上原因是 Struts 处理参数的时候太相信用户了会把一些特殊的参数名比如 contentType 或者 Accept 头里的内容直接拿去用 OGNL 解析。一旦解析，就会施行里面的代码。

   往事上出了名的 S2045 就是这种类型的，还有 S2057 啥的。当时闹得hen巨大，优良许多网站dou被挂马了。那次事件之后巨大家才意识到这玩意儿框框真实的不行。有的人说只要不升级也没事， 其实根本不是这么回事，只要有人扫到你的端口，一下子就Neng判断出来是不是有洞，然后就直接打进来了。所以 RCE 真实的是第一优先级非...不可防住的东西。

OGNL表达式注入 也hen烦人

   OGNL注入其实跟 RCE 有点像，但是稍微不一样一点。它基本上是允许打者通过构造特殊的表达式，去读取服务器上的文件，或者修改里面的对象属性。比如他Neng读 /etc/passwd ，也Neng把管理员账号改成他自己的。这种玩意儿虽然不一定立刻就Neng拿到 shell，但是信息一旦泄露，后面也就差不许多了。

   有时候开发者自己也在页面里用了太许多 ${ } ， 以为hen酷，后来啊个个地方dou是入口。黑客只要找一个地方塞进去就行了。所以我个人觉得，Neng不用 OGNL 就别用，用了也要严格管束Neng访问的东西范围，别啥douNeng访问。

信息泄露和文件上传的问题

   除开上面两种，还有一些比比kan细小但是也hen烦的类型。比如信息泄露，就是会把你的服务器路径、配置文件名、甚至数据库连接字符串dou吐出来。有时候报错信息没关掉，一报错就全kan得出来出来了这对黑客来说就是送情报啊。

   文件上传也是个老问题。Ru果 Struts 的文件上传拦截器没配优良， 或者开发者自己写了一个上传功Neng没Zuo白名单，那别人就Neng传一个 jsp 木马上去，然后直接访问就控制你了。这玩意儿虽然不是 Struts 本身自带的洞，但是配合 Struts 用的时候特别轻巧松出现一起被利用的情况。

那到底该怎么防呢 有几个办法Neng试试

   防护这件事说困难也不困难，说轻巧松也不轻巧松。要从优良几个地方一起抓，不Neng只靠一个招数。先说说Zui关键的一准儿是升级版本，这玩意儿不用许多说了吧。你用的版本要是官方Yi经宣布有高大危洞而且不再维护，那你就等于裸奔一样。Apache Struts 官网会发公告，你Zui优良订阅一下有新鲜补丁马上打上去。虽然升级有时候会担心兼容性，但比被黑有力许多了。

   第二个就是要Zuo优良输入过滤，别相信随便哪个从浏览器传来的东西。全部参数dou要检查一遍， Neng白名单就白名单，不Neng白名单也至少许要转义一下特别是那些个兴许会进入 OGNL 解析的参数。要是在 struts.xml 或者 action 里配置，Neng把不需要的参数全部禁止掉，少许些暴露面。这玩意儿步骤hen许多程序员嫌麻烦就不Zuo了后来啊后面吃亏的就是自己。

WAF Neng挡一挡但不Neng彻头彻尾靠它

   眼下hen许多公司dou会买一个 WAF 来挡门槛，这玩意儿东西确实有用。对于 Struts 这类Yi知的 RCE 利用特征码，WAF Neng识别出来并拦截掉。虽然不Neng保证百分百拦住全部新鲜型变种，但至少许Neng拦住巨大有些脚本细小子。对公网暴露的应用上一个 WAF 基本是标配了。它就像门口的一个保安，虽然保安也会睡着，但总比没有有力。

   我们这边用的那种 WAF 产品， 对付 SQL注入 跨站 脚本这些个常规打本来就有Neng力，而且规则库里面专门有针对 Strutus Spring 等各种框框洞的检测规则。你把它放在前面即使后面应用还有点细小毛病，也hen困难被直接打进去。这样开发团队也Neng争取到时候磨蹭磨蹭修补，不至于手忙脚乱。

日常维护也不Neng省 代码审计hen关键

   平安不是一次性的事情，是要一直盯着kan。你得定期Zuo一次代码审计，或者至少许跑一下自动扫描工具，把潜在的凶险点找出来。再说一个要注意日志监控，有异常求进来要Neng及时报警。比如短暂时候内一巨大堆带 ${ } 或者 # 的求进来就得报警。这dou是经验积累出来的东西，许多kan公告许多学天然就会懂一点点了。

   总之吧，用 Strut s 这玩意儿框架的老项目真实的不少许，想彻头彻尾换掉本钱又hen高大。那只Neng一边保持一边加固。许多层防着，从版本geng新鲜 输入校验 配置加固 到边界 WAF dou加上，才算比比kan稳妥。不然哪天爆出一个新鲜的 S 系列编号，又是一波巨大面积沦陷，到时候哭dou来不及。我个人觉得Neng还是早点规划迁移，虽然麻烦，但长远远kangeng安心一点。