技术分析 | Struts2 S2-048漏洞：跟踪攻击趋势，成功检测防御-低调大师

技术分析 | Struts2 S2-048漏洞：跟踪攻击趋势，成功检测防御

2017-07-09 581

7月7日，Apache Struts官方发布了漏洞编号为：S2-048的高危漏洞公告。

阿里云安全团队2小时内发布官方安全建议，跟踪S2-048的全球攻击趋势，并对不同漏洞版本进行了对比分析。

目前，阿里云云盾态势感知已支持检测，WAF默认支持防御。

一、影响范围

如果在ApacheStruts 2.3.x系列中启用了struts2-struts1-plugin插件，会受到该漏洞的影响。

二、攻击源分析

阿里云安全团队对S2-048在全球范围内的攻击源进行分析。

其中，有3/4的攻击源来自国内的北京、上海地区，1/4来自海外（美国、韩国）和香港地区。

三、原理及利用方法分析

在SaveGangsterAction.java的文件里看的有execute方法的实现，其中gforn.getName()是攻击者可控的，gforn.getName()的值可以

微信关注我们

原文链接：https://yq.aliyun.com/articles/120941

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

云计算业务发展迅速或成资本角逐新战场

分析人士认为，随着云计算业务快速发展，云计算已经成为国内外互联网巨头角逐的新战场，或将成为继大型计算机、PC机和互联网之后的第四次IT产业革命。浙商证券研报认为，云计算是未来5年至10年高确定性增长的行业，预计公有云服务市场规模在未来5年的年均复合增长率有望超过100% 据悉，云计算将服务器、存储、宽带等虚拟计算资源集中起来，大大提高资源的利用率，支持用户使用各种终端获取服务。目前，我国大部分网站、移动应用视频服务、游戏服务和电子商务的后台，均架设在云平台上。另外，国家气象局等部门利用云计算进行食品药品监管和气象数据的分析，大幅提高了管理的效率。全球云计算巨头发布的最新财报显示，云计算业务正呈现爆发式增长。国内云计算巨头阿里巴巴此前公布的今年第一季度业绩中，阿里云营收增速达175%，创历史新高。这是阿里云连续第四个季度保持3位数的营收增长。而全球云计算巨头亚马逊的aws业务，在今年一季度收入25.66亿美元，同比增长63.85%。自去年一季度单独公布云计算业务收入以来，一直保持着高速增长的态势。在全球云计算应用迅速普及阶段，我国云计算产业也处于高速发展期。据统计，目前我国在全球云计算...

2017-07-10

434

从事安全研究的小A是一名“正义的黑客”——白帽子。他发现计算机系统或网络系统中的安全漏洞，提供给企业和机构，帮助他们修复漏洞, 而不会恶意去利用。这样一来，在其他人（例如小A的对立方，黑帽子）在利用之前，小A就可以让企业和机构避免损失。 6月1日《网络安全法》正式实施以后，对白帽子参与渗透测试行为提出了法律要求。小A有点慌：因为他热爱的漏洞挖掘，有可能会踩到法律的“雷区”。这篇对白帽子的《网安法》宝典，会告诉小A：他应该知道的几个法律雷区，以及相应的处罚和责任；小A现在怎么做，才能符合《网安法》的要求，减少、规避自身的风险？我们以小A可能会碰到的场景开始。《网络安全法》中，小A容易碰哪些“雷区”？ 1、小A如果未经授权就去开始渗透测试，或者开展渗透测试的时间不是在客户授权的时间，或者测试范围超过了客户的授权，都可能被认定为是非法入侵他

2017-07-10

629

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。