Struts2安全缺陷

正文

当前 java 开发网站，通常不会是纯 JSP 的，大都使用了 java framework。

有了这些 framework，让开发人员更加快速的开发出代码，也让代码非常具有可扩展性，

那些分层架构的思想，

更是深入人心。这些也大大影响了安全代码审核，曾提出“分层审核代码”的思想，比如在

DAO 层专门检查

sql 注入，在 view 层检查 xss 等。这些框架都有自己的层级，本次文章主要讲的是 struts 这

个框架的相关

工作。所以本文把

struts 的功能分为 controller 层和 view 层，controller 层来完成接收用户数据，分发用户请求，

而 view 专门

用于展示数据。

一个单独的 struts，是不合逻辑的，因为架构师通常喜欢多种框架集合，让它们各自负责

某一层的处理。

研究一个框架的安全问题，不能仅仅站在框架的角度，还应该充分考虑到开发人员是如何

使用这些框架的，

他们最喜欢写什么样的代码，这样才能还原一个正常的、完整的 web 应用场景。

从搜索结果看，互联网中，绝大多数教程推荐 struts+hibernate+spring 这样的黄金组合，那

处理一下，再展示出来给用户的过程，精通 struts2 的同学可以跳过此步。

-------------------------------------struts 回顾 start

首先建立 action，叫做 AaaaAction：

public class AaaaAction extends ActionSupport{

private String name;

public String getName() {

return name;

}

public void setName(String name) {

this.name = name;

System.out.println("bbbbb");

return SUCCESS;

}

之后配置 struts.xml 文件

<action name="aaaaaaa" class="net.inbreak.AaaaAction">

<result name="success">user/aaa.jsp</result>

</action>

配置这个文件后，当用户输入

http://www.inbreak.net/app/aaaaaaa.action

的时候，struts 会负责让 AaaaAction 中的 execute 方法处理用户请求。

把该页面解析后，返回给用户。

而用户看到的就是 aaa.jsp 页面的 html 代码。

直接访问 action 中的

某方法，而不是访问默认的 execute 方法，只要定义一个方法叫做 bbb，并且是 public 的，

用户就可以直接输入

那 request 中的参数如果接收呢？struts2 中，这个过程被包装了起来，使用非常方便，只

一个属性，叫做 public String name；。然后加入 getName 和 setName 方法，就可以像正常

使用属性一样，接收到

用户传递过来的变量。无论是 get 请求还是 post 请求，都可以使用这种方式接收用户输入。

整个过程就如此简单，现在大家对流程有了了解，我们就开始讨论正文，如果还是想了解

更多，请自行 google。

Action 属性默认值可以被覆盖缺陷：

在日常的 java 项目中，我们经常会遇到保存一个新的对象（比如注册一个用户），然后

给这个对象赋予一些

用户提交上来的属性值，在这里，只需要定义一个对象类：

public class User {

private Long id=0l;

private String name;

private String pass;

private Integer type=1;

}

定义后，在 action 中，添加一个属性

User reguser;

<form XXXXXXX>

<input name="reguser.name">

当用户提交这个 form 到 action 中后，struts2 会负责自动映射 reguser.name 的值到 reguser 的

reguser.name 的值。所以我们

下面的代码就很简单了：

public String execute(){

add(user);

add 方法，更简单了，因为我们项目中集成了 hibernate，这个框架自动映射 user 类中的各

个属性，自动组成

insert 语句。我们只要在 add 中调用 session.save(user);就可以保存用户到数据库中。

了，攻击者在原来的

注册表单中，新加入一个 input，叫做

<input name="reguser.type">

然后输入值是 2，把这个值一起交给 action。在这个流程中，这个值，当然也会被自动带

到数据库中，向下

处理的逻辑中，这个用户，就已经变成管理员了。

当你看到了一个 struts2 或者 webwork 的应用，可以尝试使用属性攻击，修改当前表单，

的属性，一并提交上来，就可能会影响整个逻辑，达到攻击目的。文中仅仅是一个例子，

了它带来的好处，忽略了这方面基于安全性的考虑，仅仅关注了用户提交数据的正确性。

这个功能的时候，我们却需要在 action 中一个一个的把需要的变量，从用户提交的 request

题。

Action 中的方法被暴力猜解缺陷

前文提到，有一种方法可以让用户访问 action 时，不访问默认的 execute 方法，而是直接