技术分析 | Struts2 S2-048漏洞：跟踪攻击趋势，成功检测防御-低调大师

技术分析 | Struts2 S2-048漏洞：跟踪攻击趋势，成功检测防御

2017-07-09 571

7月7日，Apache Struts官方发布了漏洞编号为：S2-048的高危漏洞公告。

阿里云安全团队2小时内发布官方安全建议，跟踪S2-048的全球攻击趋势，并对不同漏洞版本进行了对比分析。

目前，阿里云云盾态势感知已支持检测，WAF默认支持防御。

一、影响范围

如果在ApacheStruts 2.3.x系列中启用了struts2-struts1-plugin插件，会受到该漏洞的影响。

二、攻击源分析

阿里云安全团队对S2-048在全球范围内的攻击源进行分析。

其中，有3/4的攻击源来自国内的北京、上海地区，1/4来自海外（美国、韩国）和香港地区。

三、原理及利用方法分析

在SaveGangsterAction.java的文件里看的有execute方法的实现，其中gforn.getName()是攻击者可控的，gforn.getName()的值可以

微信关注我们

原文链接：https://yq.aliyun.com/articles/120941

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

云计算业务发展迅速或成资本角逐新战场

分析人士认为，随着云计算业务快速发展，云计算已经成为国内外互联网巨头角逐的新战场，或将成为继大型计算机、PC机和互联网之后的第四次IT产业革命。浙商证券研报认为，云计算是未来5年至10年高确定性增长的行业，预计公有云服务市场规模在未来5年的年均复合增长率有望超过100% 据悉，云计算将服务器、存储、宽带等虚拟计算资源集中起来，大大提高资源的利用率，支持用户使用各种终端获取服务。目前，我国大部分网站、移动应用视频服务、游戏服务和电子商务的后台，均架设在云平台上。另外，国家气象局等部门利用云计算进行食品药品监管和气象数据的分析，大幅提高了管理的效率。全球云计算巨头发布的最新财报显示，云计算业务正呈现爆发式增长。国内云计算巨头阿里巴巴此前公布的今年第一季度业绩中，阿里云营收增速达175%，创历史新高。这是阿里云连续第四个季度保持3位数的营收增长。而全球云计算巨头亚马逊的aws业务，在今年一季度收入25.66亿美元，同比增长63.85%。自去年一季度单独公布云计算业务收入以来，一直保持着高速增长的态势。在全球云计算应用迅速普及阶段，我国云计算产业也处于高速发展期。据统计，目前我国在全球云计算...

2017-07-10

422

白帽子小A的故事：《网安法》时代，挖漏洞安全姿势指南

从事安全研究的小A是一名“正义的黑客”——白帽子。他发现计算机系统或网络系统中的安全漏洞，提供给企业和机构，帮助他们修复漏洞, 而不会恶意去利用。这样一来，在其他人（例如小A的对立方，黑帽子）在利用之前，小A就可以让企业和机构避免损失。 6月1日《网络安全法》正式实施以后，对白帽子参与渗透测试行为提出了法律要求。小A有点慌：因为他热爱的漏洞挖掘，有可能会踩到法律的“雷区”。这篇对白帽子的《网安法》宝典，会告诉小A：他应该知道的几个法律雷区，以及相应的处罚和责任；小A现在怎么做，才能符合《网安法》的要求，减少、规避自身的风险？我们以小A可能会碰到的场景开始。《网络安全法》中，小A容易碰哪些“雷区”？ 1、小A如果未经授权就去开始渗透测试，或者开展渗透测试的时间不是在客户授权的时间，或者测试范围超过了客户的授权，都可能被认定为是非法入侵他

2017-07-10

615

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Eclipse

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

JDK

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。