java - Struts 2 S2-016 漏洞缓解直至升级

Question

最近 Struts 修补了一个允许攻击者执行远程代码的漏洞。显然，不修补这个就像用潮流给黑帽子一个红地毯欢迎。

http://struts.apache.org/release/2.3.x/docs/s2-016.html

基本上它允许像这样执行攻击命令:

合法行动:

http://host/struts2-showcase/employee/save.action?redirect:%25{3*4}

利用行为:

http://host/struts2-showcase/employee/save.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command', '去','这里'})).start()}

虽然我知道升级应该尽快完成，但越快越好意味着需要一些时间，因为我们的代码库使用旧的 struts 版本和插件。

这将需要一些重构来升级 Struts 2 库，然后需要测试这些库等。

因此，我的问题是是否有人有任何想法来阻止执行此漏洞？只有在我们能够升级之前才会这样。

我想知道在根据 OGNL 评估之前是否可以编写一个拦截器来清理 URL，如果可以的话，它会缓解这个问题吗？

我的另一个想法是以某种方式使用 Java 安全管理器来停止任意进程调用，这可能吗？它会暂时修补这个洞吗？

如果有人认为相关，正在使用的服务器是 jBoss。

Answer 1

如果您的应用程序服务器前面有一些网络服务器，您可以通过 url 限制访问。在 Apache 中有 mod_rewrite您可以使用的模块。将 RewriteCond 指令 QUERY_STRING 变量设置为某个查询模式并重定向到 dev/null。