解决struts2.3.15.1一下版本的redirect和redirectAction漏洞

项目安全检测到struts2.3.15.1以下的版本存在如下漏洞:

         action:redirect和redirectAction前缀参数在实现其功能的过程中使用了Ognl表达式，并将用户通过URL提交的内容拼接入Ognl表达式中，从而造成攻击者可以通过恶意的URL来执行java代码，进而可执行任意命令。

解决方法如下：

1.将struts2的核心包升级到2.3.20

2.加入commons-lang3-3.2.jar

3.注意升级ognl.jar

4.修改web.xml

   将

<filter>

    <filter-name>struts2</filter-name>

    <filter-class>org.apache.struts2.dispatcher.FilterDispatcher</filter-class>

</filter>

修改为

 <filter>

        <filter-name>struts2</filter-name>

        <filter-class>org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter</filter-class>

        <init-param>

            <param-name>actionPackages</param-name>

            <param-value>com.mycompany.myapp.actions</param-value>

        </init-param>

    </filter>