1. 概述
Apache软件基金会（ASF）赞助的一个开源项目是Struts。该项目最初是Jakarta项目的一个分支，随后被提升为ASF的顶级项目。它通过采用Java Servlet／JSP技术，实现了基于Java EE Web应用的Model-View-Controller〔MVC〕设计模式的应用框架〔Web Framework〕，是MVC经典设计模式中的一个经典产品。
在Java EE的Web应用发展的初期，除了使用Servlet技术以外，普遍是在JavaServer Pages（JSP）的源代码中，采用HTML与Java代码混合的方式进行开发。这两种方法在混合表现与业务逻辑代码方面不可避免，给前期开发和后期维护带来了巨大的复杂度。为了摆脱上述的约束与局限，把业务逻辑代码从表现层中清晰的分离出来，2000年，Craig McClanahan采用了MVC的设计模式开发Struts。该框架产品曾一度被视为最广泛和最流行的JAVA WEB应用框架
Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。Struts 2是Struts的下一代产品，是在 struts 1和WebWork的技术基础上进行了合并的全新的Struts 2框架
2. 漏洞盘点
2.1. 漏洞历史
随着Struts2框架的普及，越来越多的企业单位使用Struts2框架进行开发，近年来多次爆出高危漏洞，多个政府站点，银行、大型互联网公司等单位，受到影响，例如：2016年12月爆出京东 12G 用户数据泄露，其中包括用户名、密码、邮箱、QQ号、电话号码、身份证等多个维度，数据多达数千万条，究其原因源于 2013 年 Struts 2 的安全漏洞问题。当时国内几乎所有互联网公司及大量银行、政府机构都受到了影响，导致大量数据泄露，而每次struts2爆出漏洞后各大互联网漏洞平台也接收到多个反馈如：
Struts2的代码执行问题最早要追溯到2010年，当时来自Google安全Team的Meder Kydyraliev发现可以通过用unicde编码的形式绕过参数拦截器对特殊字符“#”的过滤，造成代码执行问题，官方漏洞编号S2-003，
回顾struts2的漏洞历史，我们发现官方难辞其咎，首先，开发人员安全意识不强，虽然采取了基本的安全措施，但是形同虚设。其次，我们感觉官方的修复措施缺乏力度，似乎只是敷衍了事，而未能真正解决问题的根源。再就是，官方的开放精神确实很震撼，竟然直接将漏洞的PoC挂在官网，这样给了很多人进一步研究漏洞利用的机会，这个也是导致问题更加严重的一个原因。
2.2. struts2漏洞盘点
影响比较大，利用比较广泛的struts2漏洞：
CVE-2010-1870XWork ParameterInterceptors bypass allows OGNLstatement execution
CVE-2012-0392struts2 DevMod Remote Command Execution Vulnerability
CVE-2011-3923Struts
CVE-2013-1966Struts2
CVE-2013-2251Struts2
Struts2
Struts2
CNVD-2016-02506，CVE-2016-3081，受影响版本Struts 2.3.20 - StrutsStruts 2.3.28（2.3.20.3和2.3.24.3除外）
CVE编号：CVE-2016-4438 Struts(S2-037)远程代码执行漏洞，受影响版本：Struts 2.3.20 - Struts Struts 2.3.28.1
CVE-2017-5638 受影响版本：Struts 2.3.5 – Struts 2.3.31
Struts 2.5 –Struts 2.5.10
其他具体可参照struts2官网提供的漏洞历史：
https://cwiki.apache.org/confluence/display/WW/Security+Bulletins
3. 分布情况
针对漏洞频发的Struts2框架我们对省内使用Struts框架的分布情况进行了调查统计，通过对个地市站点进行指纹识别，绘制出省内各地市使用Strust2框架分布图表如下：
结合大数据分析和关键字识别我们对采集到的使用Strust2站点所在的行业情况进行分析，绘制出如下图表：
具体表格数据：
| 序号 | 行业类型 | 数量 | 百分比 |
| 1 | 政府部门 | 447 | 28.29% |
| 2 | 教育机构 | 155 | 9.80% |
| 3 | 金融行业 | 110 | 6.96% |
| 4 | 保险行业 | 28 | 1.77% |
| 5 | 证券行业 | 14 | 0.88% |
| 6 | 能源行业 | 8 | 0.50% |
| 7 | 交通行业 | 93 | 5.88% |
| 8 | 电信运营商 | 114 | 7.21% |
| 9 | 互联网企业 | 398 | 25.18% |
| 10 | 其他企业 | 213 | 13.48% |
从上图可以看出位于前三位(注：不计其他企业)的是政府部门（占比28.29%）、互联网企业（25.18%）、教育机构（9.8%）
我们针对采集到的使用Struts2中间件站点进行漏洞检测，本次使用互联网上影响比较大的几个高危漏洞进行验证，检测漏洞（S2-045、S2-037、S2-032、S2-016）的存在修复个加固情况，经过对1580个站点样本进行检测，发现仍然有部分站点Struts2漏洞并未修复，对检测出漏洞的站点统计信息如下图：
| 序号 | 行业 | 存在漏洞数量 |
|---|---|---|
| 1 | 政府部门 | 3 |
| 2 | 教育机构 | 2 |
| 3 | 金融行业 | 1 |
| 4 | 互联网企业 | 2 |
| 5 | 其他 | 2 |
检测中我们发现有很多网站Stuts2之前的老漏洞尚未进行过修复，从而在Stuts2漏洞的中，将网站注册用户赤裸裸地暴露在黑客攻击枪口面前。
4. 安全建议
随着形势日益复杂化，信息安全已经变成不仅仅涉及技术的问题。科技的发展是一把双刃剑，其能造福人类，亦能产生破坏性的功效。而这一点，除了技术本身之外，或许更多的要从我们的意识层面去把握，面对漏洞带来如此之大的影响，足以给互联网业界信息安全从业人员带来警醒：信息安全的警钟，应时刻长鸣。
1、我们在信息系统开发中应养成良好的开发习惯，多数漏洞从开发阶段就存在，而由于开发过程中的疏忽，逻辑漏洞等也会给系统带来很大的安全风险。
2、网站数据及时备份，在系统遭到攻击时，可以第一时间对被攻击系统进行恢复。
3、对后台服务安装防病毒软件，定时对服务器进行病毒查杀，等安全检查。
4、实时留意最新的互联网漏洞情况，对信息系统存在的漏洞进行及时修补。
5、经常性的对系统进行渗透测试，漏洞测试等工作，及时发现问题，及时修复，防止漏洞暴露在互联网上。
6、对不在使用的系统进行及时下线，一般老系统中存在更多的安全问题，管理不善可能会泄露大量敏感信息。
