Struts2框架安全风险分析与防护指南

1. Struts2框架概述

Struts是Apache软件基金会(ASF)赞助的一个开源项目，最初是Jakarta项目中的一个子项目，后来成为ASF的顶级项目。它通过采用Java Servlet/JSP技术，实现了基于Java EE Web应用的Model-View-Controller(MVC)设计模式的应用框架。

1.1 发展历史

2000年：Craig McClanahan采用MVC设计模式开发Struts
后来成为最广泛、最流行的JAVA WEB应用框架
Struts2是Struts的下一代产品，在struts1和WebWork技术基础上合并的全新框架

1.2 技术特点

基于MVC设计模式的Web应用框架
本质上相当于一个servlet
在MVC模式中作为控制器(Controller)建立模型与视图的数据交互

2. Struts2漏洞历史与盘点

2.1 漏洞历史回顾

2010年：首次发现代码执行问题(S2-003)，可通过unicode编码绕过参数拦截器
2016年：京东12G用户数据泄露事件(源于2013年Struts2安全漏洞)
官方问题：
- 开发人员安全意识不强，安全措施形同虚设
- 修复力度不够，未能从根本上解决问题
- 直接将漏洞PoC挂在官网，加剧问题严重性

2.2 重大漏洞列表

CVE编号	漏洞名称	受影响版本
CVE-2010-1870	XWork ParameterInterceptors绕过允许OGNL语句执行	-
CVE-2012-0392	struts2 DevMod远程命令执行漏洞	-
CVE-2011-3923	Struts<=2.3.1参数拦截器代码执行	≤2.3.1
CVE-2013-1966	Struts2 <= 2.3.14 includeParams属性远程命令执行	≤2.3.14
CVE-2013-2251	action、redirect、redirectAction前缀远程命令执行	≤2.3.15.1
-	Struts2 <=2.3.16 DoS攻击和ClassLoader操纵	≤2.3.16
-	Struts2 <=2.3.16.1绕过补丁(ClassLoader操纵)	≤2.3.16.1
CNVD-2016-02506/CVE-2016-3081	-	2.3.20-2.3.28(2.3.20.3和2.3.24.3除外)
CVE-2016-4438(S2-037)	远程代码执行漏洞	2.3.20-2.3.28.1
CVE-2017-5638	-	2.3.5–2.3.31, 2.5–2.5.10

完整漏洞历史参考：Struts2安全公告

3. Struts2使用分布与风险现状

3.1 行业分布情况

序号	行业类型	数量	百分比
1	政府部门	447	28.29%
2	教育机构	155	9.80%
3	金融行业	110	6.96%
4	保险行业	28	1.77%
5	证券行业	14	0.88%
6	能源行业	8	0.50%
7	交通行业	93	5.88%
8	电信运营商	114	7.21%
9	互联网企业	398	25.18%
10	其他企业	213	13.48%

前三名：政府部门(28.29%)、互联网企业(25.18%)、教育机构(9.8%)

3.2 漏洞检测结果

对1580个站点样本检测(S2-045、S2-037、S2-032、S2-016)漏洞：

序号	行业	存在漏洞数量
1	政府部门	3
2	教育机构	2
3	金融行业	1
4	互联网企业	2
5	其他	2

问题发现：许多网站Struts2老漏洞尚未修复，使注册用户暴露在黑客攻击风险中。

4. 安全防护建议

开发阶段安全
- 养成良好的开发习惯
- 注意逻辑漏洞防范
- 从源头减少安全风险
数据保护
- 定期备份网站数据
- 确保攻击后能快速恢复系统
服务器防护
- 安装防病毒软件
- 定时进行病毒查杀和安全检查
漏洞管理
- 实时关注最新互联网漏洞动态
- 及时修补信息系统漏洞
主动检测
- 定期进行渗透测试
- 开展漏洞扫描工作
- 防止漏洞长期暴露在互联网上
系统管理
- 及时下线不再使用的系统
- 老系统通常存在更多安全问题
- 可能泄露大量敏感信息

5. 总结

Struts2作为广泛使用的Java Web框架，其安全漏洞影响深远，曾导致多起重大数据泄露事件。通过对某省的调查发现，政府部门和互联网企业是使用该框架的主要行业，且仍有部分站点存在未修复的高危漏洞。信息安全从业人员应提高安全意识，建立完善的安全防护体系，从开发、运维到管理的各个环节加强安全措施，确保信息系统安全稳定运行。

Struts2框架安全风险分析与防护指南 1. Struts2框架概述 Struts是Apache软件基金会(ASF)赞助的一个开源项目，最初是Jakarta项目中的一个子项目，后来成为ASF的顶级项目。它通过采用Java Servlet/JSP技术，实现了基于Java EE Web应用的Model-View-Controller(MVC)设计模式的应用框架。 1.1 发展历史 2000年：Craig McClanahan采用MVC设计模式开发Struts 后来成为最广泛、最流行的JAVA WEB应用框架 Struts2是Struts的下一代产品，在struts1和WebWork技术基础上合并的全新框架 1.2 技术特点基于MVC设计模式的Web应用框架本质上相当于一个servlet 在MVC模式中作为控制器(Controller)建立模型与视图的数据交互 2. Struts2漏洞历史与盘点 2.1 漏洞历史回顾 2010年：首次发现代码执行问题(S2-003)，可通过unicode编码绕过参数拦截器 2016年：京东12G用户数据泄露事件(源于2013年Struts2安全漏洞) 官方问题：开发人员安全意识不强，安全措施形同虚设修复力度不够，未能从根本上解决问题直接将漏洞PoC挂在官网，加剧问题严重性 2.2 重大漏洞列表 | CVE编号 | 漏洞名称 | 受影响版本 | |---------|---------|-----------| | CVE-2010-1870 | XWork ParameterInterceptors绕过允许OGNL语句执行 | - | | CVE-2012-0392 | struts2 DevMod远程命令执行漏洞 | - | | CVE-2011-3923 | Struts <=2.3.1参数拦截器代码执行 | ≤2.3.1 | | CVE-2013-1966 | Struts2 <= 2.3.14 includeParams属性远程命令执行 | ≤2.3.14 | | CVE-2013-2251 | action、redirect、redirectAction前缀远程命令执行 | ≤2.3.15.1 | | - | Struts2 <=2.3.16 DoS攻击和ClassLoader操纵 | ≤2.3.16 | | - | Struts2 <=2.3.16.1绕过补丁(ClassLoader操纵) | ≤2.3.16.1 | | CNVD-2016-02506/CVE-2016-3081 | - | 2.3.20-2.3.28(2.3.20.3和2.3.24.3除外) | | CVE-2016-4438(S2-037) | 远程代码执行漏洞 | 2.3.20-2.3.28.1 | | CVE-2017-5638 | - | 2.3.5–2.3.31, 2.5–2.5.10 | 完整漏洞历史参考： Struts2安全公告 3. Struts2使用分布与风险现状 3.1 行业分布情况 | 序号 | 行业类型 | 数量 | 百分比 | |------|---------|------|-------| | 1 | 政府部门 | 447 | 28.29% | | 2 | 教育机构 | 155 | 9.80% | | 3 | 金融行业 | 110 | 6.96% | | 4 | 保险行业 | 28 | 1.77% | | 5 | 证券行业 | 14 | 0.88% | | 6 | 能源行业 | 8 | 0.50% | | 7 | 交通行业 | 93 | 5.88% | | 8 | 电信运营商 | 114 | 7.21% | | 9 | 互联网企业 | 398 | 25.18% | | 10 | 其他企业 | 213 | 13.48% | 前三名：政府部门(28.29%)、互联网企业(25.18%)、教育机构(9.8%) 3.2 漏洞检测结果对1580个站点样本检测(S2-045、S2-037、S2-032、S2-016)漏洞： | 序号 | 行业 | 存在漏洞数量 | |------|------|------------| | 1 | 政府部门 | 3 | | 2 | 教育机构 | 2 | | 3 | 金融行业 | 1 | | 4 | 互联网企业 | 2 | | 5 | 其他 | 2 | 问题发现：许多网站Struts2老漏洞尚未修复，使注册用户暴露在黑客攻击风险中。 4. 安全防护建议开发阶段安全养成良好的开发习惯注意逻辑漏洞防范从源头减少安全风险数据保护定期备份网站数据确保攻击后能快速恢复系统服务器防护安装防病毒软件定时进行病毒查杀和安全检查漏洞管理实时关注最新互联网漏洞动态及时修补信息系统漏洞主动检测定期进行渗透测试开展漏洞扫描工作防止漏洞长期暴露在互联网上系统管理及时下线不再使用的系统老系统通常存在更多安全问题可能泄露大量敏感信息 5. 总结 Struts2作为广泛使用的Java Web框架，其安全漏洞影响深远，曾导致多起重大数据泄露事件。通过对某省的调查发现，政府部门和互联网企业是使用该框架的主要行业，且仍有部分站点存在未修复的高危漏洞。信息安全从业人员应提高安全意识，建立完善的安全防护体系，从开发、运维到管理的各个环节加强安全措施，确保信息系统安全稳定运行。