网站漏洞之apache环境S2-057漏洞 利使用POC 远程执行命令漏洞复现

摘要： S2-057漏洞，于2018年8月22日被曝出，该Struts2 057漏洞存在远程执行系统的命令，尤其用linux系统，apache环境，影响范围较大，危害性较高，假如被攻击者利使用直接提权到服务器管理员权限，网站数据被篡改，数据库被盗取都会发生。

S2-057漏洞，于2018年8月22日被曝出，该Struts2 057漏洞存在远程执行系统的命令，尤其用linux系统，apache环境，影响范围较大，危害性较高，假如被攻击者利使用直接提权到服务器管理员权限，网站数据被篡改，数据库被盗取都会发生。

目前我们SINE安全对该S2-057漏洞的测试，发现受影响的版本是Apache Struts 2.3–ApacheStruts2.3.34、Apache Struts2.5–Apache Struts2.5.16等系列版本。官方Apache已经紧急的对该S2-057漏洞进行了修复。

通过国外曝出来的漏洞poc，我们来详情下Struts2漏洞该如何的利使用：

S2-057漏洞产生于网站配置xml的时候，有一个namespace的值，该值并没有做详细的安全过滤导致可以写入到XML上，尤其url标签值也没有做通配符的过滤，导致可以执行远程代码，以及系统命令到服务器系统中去。