衡水市工业和信息化局
 
湖南幸运赛车缩水软件下载 黑龙江省快乐十分 二十一点玩法 安徽时时彩单双 北京十一选五中奖规则
湖北十一选五助手 广东快乐十分和质 上海快三中奖奖金多少计划 辽宁35选7走势图 恋彩吧彩票代购合买平台◆UI◆富华娱乐平台◆菲律宾太阳城国际娱乐
四川快乐12玩法 内蒙古时时彩技巧 福建快三预测一定牛 福建体彩22选5走势图大星彩票 时时彩开奖视频直播
最新双色球选号技巧 贵州快3最准预测 江苏7位数中几位有奖 澳门娱乐城▍金沙会▍888真人娱乐 双色球六合彩130,福彩双色球2015143开奖结果,双色球复试投注网,双色球2014092
          当前位置: 首 页 >>北京pk10计划投注技巧>>网络管理与信息安全>> 正文

Apache Struts2存在S2-北京pk10计划投注技巧

2017年3月14日 08:27:28   来源:网络管理与信息安全    网络管理与信息安全

本文地址://www.zhaoqingren.com.cn/XXHJC/WLGLAQ/2017/03/14/content_406164.shtml
文章摘要:Apache Struts2存在S2,福迪短见敲定,无节制同条共贯随波逐流。

一、漏洞情况分析

Struts2是第二代基于Model-View-Controller(MVC)模型的java企业级web应用框架,并成为当时国内外较为流行的容器软件中间件。jakarta是apache组织下的一套Java解决方案的开源软件的名称,包括很多子项目。Struts就是jakarta的紧密关联项目。

根据CNVD技术组成员单位??杭州安恒信息技术有限公司提供的分析情况,基于Jakarta Multipart parser的文件上传模块在处理文件上传(multipart)的请求时候对异常信息做了捕获,并对异常信息做了OGNL表达式处理。但在在判断content-type不正确的时候会抛出异常并且带上Content-Type属性值,可通过精心构造附带OGNL表达的URL导致远程代码执行。

CNVD对漏洞的综合评级均为“高危”。由于struts 2.3.5之前的版本存在S2-016漏洞,因此有较多升级后的Apache struts2的版本为2.3.5及以上版本,极有可能受到漏洞的影响。

二、漏洞影响范围

受漏洞影响的版本为:Struts2.3.5-Struts2.3.31, Struts2.5-Struts2.5.10。截至2017年3月7日13时,北京pk10计划投注技巧:互联网上已经公开了漏洞的攻击利用代码,同时已有安全研究者通过CNVD网站、补天平台提交了多个受漏洞影响的省部级党政机关、金融、能源、电信等行业单位以及知名企业门户网站案例。根据CNVD秘书处抽样测试结果,互联网上采用Apache Struts 2框架的网站(不区分Struts版本,样本集>500,覆盖政府、高校、企业)受影响比例为60.1%。

三、漏洞处置建议

Apache Struts官方已在发布的新的版本中修复了该漏洞。建议使用Jakarta Multipart parser模块的用户升级到Apache Struts版本2.3.32或2.5.10.1。除了升级struts版本外,为有效防护漏洞攻击,建议用户采取主动检测、网络侧防护的方法防范黑客攻击:

(一)无害化检测方法(该检测方法由安恒公司提供)

在向服务器发出的http请求报文中,修改Content-Type字段:

Content-Type: %{#context['com.opensymphony.xwork2.dispatcher.httpervletResponse'].addHeader('vul','vul')}.multipart/form-data,如返回response报文中存在vul:vul字段项则表明存在漏洞。

(二)网络侧防护技术措施

建议在网络防护设备上配置过滤包含如下

#nike='multipart/form-data' 以及

#container=#context['com.opensymphony.xwork2.ActionContext.container' 字段串(及相关字符转义形式)的URL请求。

CNCERT/CNVD已着手组织国内安全企业协同开展相关检测和攻击监测相关工作,后续将再次汇总处置工作情况。

2017年3月8日

北京pk10计划投注技巧】  
 

版权所有:衡水市工业和信息化局   地址:衡水市育才南大街193号
电话:0318-2666171  技术支持:创新科技

湖南幸运赛车缩水软件下载 黑龙江省快乐十分 二十一点玩法 安徽时时彩单双 北京十一选五中奖规则
湖北十一选五助手 广东快乐十分和质 上海快三中奖奖金多少计划 辽宁35选7走势图 恋彩吧彩票代购合买平台◆UI◆富华娱乐平台◆菲律宾太阳城国际娱乐
四川快乐12玩法 内蒙古时时彩技巧 福建快三预测一定牛 福建体彩22选5走势图大星彩票 时时彩开奖视频直播
最新双色球选号技巧 贵州快3最准预测 江苏7位数中几位有奖 澳门娱乐城▍金沙会▍888真人娱乐 双色球六合彩130,福彩双色球2015143开奖结果,双色球复试投注网,双色球2014092