Apache Struts2文件上传漏洞

最新推荐文章于 2025-04-08 17:50:33 发布
最新推荐文章于 2025-04-08 17:50:33 发布
阅读量387 收藏 3
点赞数 2
分类专栏： 漏洞发现 文章标签： apache struts java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Lucker_YYY/article/details/144534185
版权

漏洞概况

Apache Struts2 是一个开源的 Java Web 应用程序开发框架，旨在帮助开发人员构建灵活、可维护和可扩展的企业级 Web 应用程序。

微步情报局获取到 Apache Struts2 文件上传漏洞情报 CVE-2024-53677 （https://x.threatbook.com/v5/vul/XVE-2024-35895），攻击者成功利用该漏洞可上传任意文件，从而远程执行任意代码，如果系统没有使用FileUploadInterceptor组件，则不受此漏洞影响。

漏洞PoC已公开，建议受影响的客户尽快修复。

综合处置优先级：高

基本信息

编号

 XVE-2024-35895
漏洞类型

远程代码执行

利用条件评估

利用漏洞的网络条件

 远程

是否需要绕过安全机制

 不需要
最低0.47元/天 解锁文章
【漏洞复现】Struts2（CVE-2024-53677）任意文件上传逻辑绕过漏洞
李火火的安全圈
12-27 1314
CVE-2024-53677 是一个在Apache Struts 框架中发现的严重漏洞，可能允许攻击者远程执行任意代码。 漏洞的根本原因是文件上传逻辑存在缺陷，攻击者可以利用该缺陷进行路径穿越和恶意文件上传。 该漏洞影响了特定版本的Apache Struts，开发者和系统管理员应立即采取措施，防止被利用。
ApacheStruts2 目录遍历与文件上传漏洞复现（CVE-2024-53677,S2-067）（附脚本）
iSee857的博客
12-19 1155
CVE-2024-53677 漏洞的根本原因是 Struts 框架中不安全的文件上传处理机制。攻击者利用 CVE-2024-53677 漏洞时，首先会通过构造恶意文件上传请求，利用文件上传表单或API接口，尝试将带有特殊路径的文件上传到服务器。攻击者可以在上传的文件路径中插入“../”序列，从而访问系统中其他目录的文件，甚至修改或执行系统文件。如果上传的恶意文件是可执行的脚本或二进制文件（如PHP、JSP等），并且服务器对文件类型的检测不严格，攻击者就可以通过执行这些文件，获得对服务器
Struts2框架下Log4j2漏洞检测方法分析与总结
最新发布
A1_3_9_7的博客
04-08 881
Log4j2漏洞出现有大半年的时间了，这个核弹级别的漏洞危害很大，但是这个漏洞检测起来却很麻烦，因为黑盒测试无法预判网站哪个应用功能在后台调用了log4j2记录日志功能。目前通用的做法就是使用burpsuite插件进行被动扫描，原理就是把所有与用户交互参数都用各种log4j2检测payload测试一遍，然后观察DNSlog中有没有访问记录。这个漏洞检测方法和SQL注入、XSS漏洞有点像，常规方法很难完全发现漏洞，有时候就连研发人员自己也搞不清楚哪些应用功能点调用了log4j2，
Struts2漏洞分析
云守护的专栏
05-21 2871
Struts2漏洞分析 当在浏览器输入如下地址时：        http://www.xxxx.com/aaa.action?('\u0023_memberAccess[\'allowStaticMethodAccess\']')(meh)=true&(aaa)(('\u0023context[\'xwork.MethodAccessor.denyMethodExecution\']\u00
Struts2 漏洞集合
kali_Ma的博客
01-21 7822
Struts2 漏洞集合 总结了一部分 Strtus2 漏洞，虽然现在这部分的漏洞很少了，但也是学习的一部分，收集的并不全面，后续会做补充。 漏洞环境搭建可以使用在线的 Vulfocus ，或者使用docker部署 S2-001 （CVE-2007-4556） 该漏洞因为用户提交表单数据并且验证失败时，后端会将用户之前提交的参数值使用 OGNL 表达式 %{value} 进行解析，然后重新填充到对应的表单数据中。例如注册或登录页面，提交失败后端一般会默认返回之前提交的数据，由于后端使用
Struts2漏洞
2403_82795493的博客
02-20 4006
Struts 是Apache软件基金会（ASF）赞助的一个开源项目，通过采用JavaServlet/JSP技术，实现基于Java EEWeb应用的MVC设计模式的应用框架，Struts 2是Struts的下一代产品，是在 Struts 1和WebWork的技术基础上进行了合并的全新的Struts 2框架。Struts2框架广泛应用于政府、公安、交通、金融行业和运营商的网站建设，作为网站开发的底层模板使用。
漏洞复现-Apache Struts2 文件上传漏洞（CVE-2023-50164）
玄道的网安博客
08-11 1631
补丁修复的HttpParameters大小写敏感问题，如果此时通过参数绑定传递MyFaceFileName，在上传表单名中传递myFace(inputName+FileName)，此时HttpParameters里面是myFaceFileName与MyFaceFileName，这个时候key不一样，可以同时存在于HttpParameters的。发现对HttpParameters进行了修改，对参数大小写进行了控制，强制将参数都转换成了小写，漏洞和大小写参数有关。
春秋云境-Apache Struts2 目录遍历及文件上传漏洞（CVE-2023-50164）
shelbytt的博客
07-31 761
攻击者可以操纵文件上传参数以启用路径遍历，在某些情况下，这可能导致上传恶意文件，从而执行远程代码。建议用户升级到Struts 2.5.33或Struts 6.3.0.2或更高版本以解决这个问题。
Apache Struts 存在远程代码执行漏洞(CVE-2024-53677)
缘梦未来的博客
12-14 1011
Apache Struts 是一个开源的 Java Web 应用框架，最初由 Craig McClanahan 于 2000 年创建，并被 Apache 软件基金会接管。它主要用于开发基于 Java 的企业级 Web 应用程序。Struts 提供了一个 MVC（Model-View-Controller）架构，帮助开发者将应用的逻辑分离，以提高可维护性和可扩展性。
struts2漏洞
热门推荐
qq_52527336的博客
06-30 1万+
记一下笔记一个个写吧
Struts2漏洞 - Struts2-015 Struts2-016 Struts2-045
HAKUNAMATATATTA的博客
12-21 3041
Apache Struts是美国阿帕奇（Apache）软件基金会负责维护的一个开源项目，是一套用于创建企业级Java Web 应用的开源MVC框架，主要提供两个版本框架产品： Struts 1和Struts2；Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。
渗透知识-Struts2漏洞
Jian Sun_的博客
02-11 4822
Struts2漏洞利用实例 如果存在struts2漏洞的站，administrator权限，但是无法加管理组，内网，shell访问500. 1.struts2 漏洞原理：struts2是一个框架，他在处理action的时候，调用底层的getter/setter来处理http的参数，将每一个http的参数声明为一个ONGL。 2.struts2 漏洞利用： 步骤如下：1>验证漏洞： 证明了存在struts2漏洞。 2>执行命令： whoami 很大的administrat...
每天一个小漏洞——struts2 系列漏洞
qq_54030686的博客
01-26 2696
每天一个小漏洞——struts2 系列漏洞 struts作为一个java框架出现了一系列的漏洞，判断是否为struts框架可以看网址路径是否为.action或者.do,如果是这两者其中之一为后缀，那么大概率是struts2框架，也可以按照 https://blog.youkuaiyun.com/qq_27446553/article/details/73639456 这篇文章描述的方法进行检测 利用方法：直接使用编译完成的struts2.exe即可 命令 struts2.exe -t url 即可 也可以使用pytho
Apache Struts2 - 任意文件上传漏洞 - CVE-2024-53677
Blue17 の 小窝
02-16 1252
是美国 Apache 基金会的一个开源项目，是一套用于创建企业级 Java Web 应用的开源 MVC 框架（将软件分为模型（Model）、视图（View）和控制器（Controller）三部分）。CVE-2024-53677 是一个在 Apache Struts 框架中发现的严重漏洞，可能允许攻击者远程执行任意代码。漏洞的根本原因是文件上传逻辑存在缺陷，攻击者可以利用该缺陷进行路径穿越和恶意文件上传。
struts2文件上传漏洞复现
02-10
### 复现Struts2文件上传漏洞(CVE-2023-50164) #### 使用Docker搭建Vulhub环境 为了安全地复现此漏洞，建议在一个隔离环境中操作。可以通过部署[Vulhub](https://vulhub.org/)项目中的相关镜像来快速建立测试平台...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值