ONGL

这文章有漏洞影响到百度，所以先发百度，修补后，正在和剑心商量小范围群发各个互联网安全团队，结果老外也研究出，并且直接爆出这个文章的最终POC。想想刚好明天我生日，发了，庆祝吧。身在互联网公司安全团队，有研究的结果，总要先保证自己安全才会往外发，这是基本原则。 继上次struts远程代码执行漏洞后，前段时间又发布了一个远程代码执行漏洞。影响范围极广，利用方式相对上次要苛刻一点，但是读完本文，批量抓鸡不难。 几天前，KJ就在微博上把我卖了，我们确实在研究这个漏洞，官方早就发公告。看到漏洞介绍后，翻阅了struts官网后，作者第一时间想到的，就是没见过比apache更傻X的官方，struts网站没有任何页面有此漏洞的连接，凭空在那个目录下多出个s007.html页面（你能猜到这个地址？），如果不是看到apache的jira系统的一则留言信息，都不知道这个漏洞公告的存在。无奈的想起一个网络流行语，以及一些其他网络流行语。 官方公告 我们看看apache的jira系统中那则留言信息，作者重新描述下： 到达showcase的validation的case页面，选择field validation页面。 在int类型或date类型的输入框中，输入 <’+#application+’> 就会在返回页面中，显示出struts应用程序application context中的内容（toString后）