博客

Struts2识别与漏洞利用

  • Post author:
  • Post category:其他


Struts2框架识别 (1)

通过网页后缀来进行判断，如.do或者.action
在这里插入图片描述

➢ Struts2漏洞验证
在这里插入图片描述

➢ Struts2- – 045漏洞介绍

安恒信息安全研究院WEBIN实验室高级安全研究员nike.zheng发现著名J2EE框架—

—Struts2存在远程代码执行的严重漏洞;（漏洞编号S2-045，CVE编号：cve-2017-

5638），并定级为高风险，影响版本范围为Struts 2.3.5 – Struts 2.3.31和

Struts 2.5 – Struts 2.5.10。

➢ Struts2- – 045漏洞危害

在使用基于Jakarta插件的文件上传功能时，有可能存在远程命令执行，导致系统被

黑客入侵。恶意用户可在上传文件时通过修改HTTP请求头中的Content-Type值来触

发该漏洞，进而执行系统命令。

➢ Struts2- – 045漏洞利用（上传 webshell）
在这里插入图片描述

➢ Struts2- – 045漏洞利用（执行命令）

随意上传一个文件并抓包

修改Content-Type为以下连接里的内容：

https://cowtransfer.com/s/a6e776cdde6d45
在这里插入图片描述


版权声明：本文为weixin_43873557原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。