（在说正事之前，我要推荐一个福利：你还在原价购买阿里云、腾讯云、华为云服务器吗？那太亏啦！来这里，新购、升级、续费都打折，能够为您省60%的钱呢！2核4G企业级云服务器低至69元/年，点击进去看看吧>>>)

本次漏洞触发点在：

org.apache.struts2.s1.Struts1Action.execute() 方法中，如下图所示。

org.apache.struts2.s1.Struts1Action 类为一个 Wrapper 类，用于将 Struts1 时代的 Action 包装成为 Struts2 中的 Action，以让它们在 struts2 框架中继续工作。

在 Struts1Action 的 execute 方法中，会调用对应的 Struts1 Action 的 execute 方法（***个红色箭头处）。在调用完后，会检查 request 中是否设置了 ActionMessage，如果是，则将会对 action messages 进行处理并回显给客户端。处理时使用了 getText 方法，这里就是漏洞的触发点。所以漏洞的触发条件是：在 struts1 action 中，将来自客户端的参数值设置到了 action message 中。

在官方提供的 Showcase 中，就存在漏洞，如下图：

 

getText 方法的主要作用就是实现网站语言的国际化，它会根据不同的 Locale 去对应的资源文件里面获取相关文字信息（这些文件信息一般保存在 .properties 文件中），这些文字信息往往会回显至客户端。

Action messages 会通过 getText 方法最终进入 com.opensymphony.xwork2.util.LocalizedTextUtil.getDefaultMessage(String, Locale, ValueStack, Object[], String) 方法，如下：

此方法会将 action message 传入 com.opensymphony.xwork2.util.TextParseUtil.translateVariables(String, ValueStack)。com.opensymphony.xwork2.util.TextParseUtil.translateVariables(String, ValueStack) 方法主要用于扩展字符串中由 ${} 或 %{} 包裹的 OGNL 表达式，这里也就是 OGNL 的入口，随后 action message 将进入 OGNL 的处理流程，漏洞被触发。

关于 POC

---

1 本文转载自网络，原文链接： 版权声明：本文转载自网络，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。本站转载出于传播更多优秀技术知识之目的，如有侵权请联系QQ/微信：153890879删除 相关文章 []*T *[]T *[]*T 傻傻分不清楚 B站，牛逼！ 如何保证 Serverless 业务部署更新的一 Room 中的数据库自动迁移功能 精彩导读 一个基于多云的企业该如何进行安全控制 20 行代码：Serverless 架构下用 Pytho 如何在 ASP.Net Core 中实现健康检查 机器人陪伴改变未来智能生活 租用便宜的美国服务器时注意哪些方面？ 人工智能的到来对我们的生活会有怎样的 热门资讯 双拼域名sentai.com六位数领跑Sedo榜！ SMC帮助伟东云教育节省90%迁云成本 Docker与k8s的恩怨情仇（二）—用最简 域名和空间大概多少钱 利用大数据 健身更高效 “云计算与云存储核心架构与应用”论坛 高频常见问题_弹性云服务器 ECS_常见问 聊一聊智慧城市的前世今生 免费云服务器试用一年 服务器机房搬迁导致服务器无法识别raid 备案：湘ICP备15009499号-1 网站简介 投稿须知 商务合作 版权申明 技术支持：TOP云