360安全播报 发表于 2016-3-18 12:20:18

[附POC截图]Apache Struts 2 远程代码执行漏洞(CVE-2016-0785)

　　
http://p7.qhimg.com/t01b05eea73aa4472a9.jpg
　　近日Apache发布官方漏洞通告S2-029存在可能远程命令执行的告警。360的小伙伴加班加点在跟进此漏洞的进展，并且在补丁发出之前验证了漏洞的存在。见图。
　　http://p2.qhimg.com/t0158850571eb0779ab.jpg
　　Struts2是世界上最广泛使用的Java web服务器框架之一，之前S2-005，S2-009，S2-013，S2-016，S2-020都存在远程命令执行漏洞，使得大量的网站系统遭受入侵。S对互联网网站系统的危害比较大。
　　这次S2-029的漏洞主要在于当用户可以控制特定标签的属性时，通过OGNL二次计算可以执行任意命令，危害程度与前几次相同。所以请广大用户注意官方更新的补丁，升级至2.3.26版本
      受影响范围
　　Struts 2.0.0 – Struts Struts 2.3.24.1
　　修复建议
　　当重分配传入Struts标签属性的参数时，总是进行验证
      建议用户将Struts升级至 2.3.26版本
      监控WEB日志及时发现入侵事件。

wzy1256161264 发表于 2016-3-18 12:50:16

可以。。。过段时间就要放出利用工具了

54hacker 发表于 2016-3-18 17:53:29

谢谢楼主的分享

sladjfksld 发表于 2016-3-18 19:26:28

截图还要打码，真不厚道

昊情· 发表于 2016-3-18 19:37:55

我记得论坛发有类似的

ayang 发表于 2016-3-19 01:49:46

我是来水经验的……

perble 发表于 2016-3-19 11:00:55

支持中国红客联盟(ihonker.org)

云游者 发表于 2016-3-19 14:23:33

谢谢楼主的分享

小路 发表于 2016-3-19 22:00:11

cl476874045 发表于 2016-3-19 22:18:56

页: [1]
查看完整版本: [附POC截图]Apache Struts 2 远程代码执行漏洞(CVE-2016-0785)