网易首页 > 网易科技 > 互联网 > 正文

Struts2漏洞解读:官方惹祸 黑客攻防

0
分享至

文/顾晓波

随着苹果开发者网站的沦陷,已经曝光一周的Apache Struts2漏洞再次成为热门话题,今天有消息称由于该漏洞被利用,淘宝的数据库已经被盗,尽管淘宝官方否认了这一说法,但是从乌云漏洞平台的报告看,该漏洞已经波及到了包括京东、淘宝等在内的大型网站。

Struts2应用范围有多广?此次漏洞有多严重?哪些网站受到了波及?可怕在哪里?网易科技请教了多名安全界人士,对该漏洞进行详细解读。

1、什么是Struts 2漏洞?

Struts 是Apache软件基金会(ASF)赞助的一个开源项目,通过采用JavaServlet/JSP技术,实现基于Java EEWeb应用的MVC设计模式的应用框架,Struts 2是Struts的下一代产品,是在 struts 1和WebWork的技术基础上进行了合并的全新的Struts 2框架。

Struts框架广泛应用于政府、公安、交通、金融行业和运营商的网站建设,作为网站开发的底层模板使用。

此次爆发的漏洞是Struts 2的一个远程执行漏洞,利用这个漏洞,攻击者可以上传后门,黑掉一个网站或者盗取用户数据库。

2、为什么此次Struts 2漏洞影响巨大?

第一,Apache官方在漏洞公告中直接把漏洞利用代码公开了,这是一个令人震惊的做法,因为在公布之前还有很多网站没有及时打上补丁。公布后该漏洞疯狂传播,并出现了直接利用该漏洞进行入侵的傻瓜工具,一些未及时更新补丁的网站被入侵。

第二,Apache Struts2是一个应用框架,它的漏洞并不像Windows一样,及时发个补丁推送给用户,更新了就没事了,而是需要站长和网站维护人员自己去更新这个补丁,国内并不是每个网站的技术人员都会第一时间注意并更新这个漏洞。

第三,在漏洞被公布后黑客们为了展示“战果”,把大量存在漏洞的网站公布在第三方平台上,很多之前没有关注到该漏洞的黑客们开始关注并寻找漏洞。

3、哪些网站中招了?

乌云漏洞平台最新确认的漏洞名单中,中国电信、中国联通等运营商部分分站,中科院、工信部、交通部、中国邮政等部分站点,以及腾讯、淘宝、搜狐等大型互联网公司的部分分站均在列,不过很多分站并不涉及数据库。

中招的不止是国内网站,苹果开发者网站“宕机”5天后,苹果也终于承认是遭到入侵,业内猜测可能是由于Stuts2漏洞,随后Ubuntu的开发者社区也被黑,182万用户数据被盗,尽管数据已经加密,仍然存在一定安全隐患。

此次受影响最严重的是京东,在乌云平台上有十几个漏洞被提交,涉及的站点包括奢侈品站360Top、彩票页面、充值页面、支付成功页面等。

4、波及的网站包括一些银行网站和淘宝等电商网站,对用户而言是不是很危险?

此次波及的网站中有一部分银行的分站,并不涉及数据库,不过如果是存在登录功能,则黑客可以通过挂马的方式在用户登录过程中盗取银行账号和密码,所以还是有一定危险性。

淘宝网今天发布声明否认了漏洞被利用的说法。淘宝确实在一些非常边缘的站点使用过Stuts 2框架,但是后来开发了自己的框架,主要业务并没有受到影响。

5、是否已经有网站被拖库?

拖库是指将从数据库导出数据,各大网站通常会将数据库进行加密,黑客会将这些数据库破解并获得数据。

目前还没有确切证据标明已经有大型网站的数据库被拖库,黑市上也没有新的数据库出现,因为漏洞公开时间不长,影响可能要到几个月后才会显现。

6、业内传言

①、黑客很忙。很多黑客此前已经掌握了一些网站的漏洞,并获取了权限,此次Struts漏洞泄露后,为了防止其他黑客通过该漏洞也获得这些网站的权限,这些黑客会主动去修复“肉鸡”的漏洞,一方面另一波黑客要争取抢在漏洞被修复前完成入侵,于是双方展开了攻防战,在这期间很多网站发现其漏洞被“自动修复”。

②、Apache作恶。有黑客称自己在5月份已经发现两个远程执行漏洞,提交后Apache官方只是出了一个声明确认了该漏洞,但是并未发布补丁。这已经不是Struts第一次出现漏洞,但是官方对于安全问题的处理简单粗暴,甚至需要修补多次才能修好,此次更是“奇葩”到直接公布了漏洞的利用方法。

尽管目前官方发布了补丁,不过按照此前的经验,该补丁是否可以彻底消除安全隐患还有待观察。

以上信息引用自多名安全行业从业者口述,以及“道哥的黑板报”等公众账号。

相关推荐
热点推荐
7分钟大定破2万!小米汽车21.59万元起售,能打穿哪些同行?

7分钟大定破2万!小米汽车21.59万元起售,能打穿哪些同行?

澎湃新闻
2024-03-28 22:44:36
突发!赛季报销!再见了,NBA最年轻的2亿先生

突发!赛季报销!再见了,NBA最年轻的2亿先生

篮球教学论坛
2024-03-29 09:00:30
反转了?内蒙姑娘举报父亲:姑姑出面开撕,透露几个重要细节

反转了?内蒙姑娘举报父亲:姑姑出面开撕,透露几个重要细节

蚂蚁八卦撼大树
2024-03-27 23:06:03
越闹越大了!广州地铁发布公告打脸南通,网友们评论让人笑疯

越闹越大了!广州地铁发布公告打脸南通,网友们评论让人笑疯

大宗看萌宠
2024-03-29 03:47:47
大量原瓦格纳雇佣军加入反俄武装,普京:俄罗斯不会与北约开战

大量原瓦格纳雇佣军加入反俄武装,普京:俄罗斯不会与北约开战

史政先锋
2024-03-28 23:48:27
普通中年人的天花板水平?从不应酬不吃夜宵,每天工资300块!

普通中年人的天花板水平?从不应酬不吃夜宵,每天工资300块!

玛丽姬丝
2024-03-28 20:54:09
广东神秘“短命村”:村民多数活不过40岁,专家一语道破真相!

广东神秘“短命村”:村民多数活不过40岁,专家一语道破真相!

财宝
2024-03-28 09:38:32
“靖康之耻”有多虐心?皇帝生母每日接客超百人,公主肛裂而死

“靖康之耻”有多虐心?皇帝生母每日接客超百人,公主肛裂而死

阿胡
2024-03-28 15:30:23
雷军,耍了所有人

雷军,耍了所有人

商业人物
2024-03-29 00:09:42
涉案1.2亿!李铁罪行:受贿7764万,当庭认罪,仍留着刘海

涉案1.2亿!李铁罪行:受贿7764万,当庭认罪,仍留着刘海

叶青足球世界
2024-03-28 21:19:39
4-1后伊万或清退中方教练组,3人将被拿下,他执教的国足不讲人情

4-1后伊万或清退中方教练组,3人将被拿下,他执教的国足不讲人情

我就是一个说球的
2024-03-28 17:15:09
小米汽车21.59万起,雷军:便宜特斯拉对标款3万,亏钱

小米汽车21.59万起,雷军:便宜特斯拉对标款3万,亏钱

南方都市报
2024-03-28 23:21:59
李尚福被免去国防部长,虎父无犬子,父亲竟和美国交过手

李尚福被免去国防部长,虎父无犬子,父亲竟和美国交过手

磊子讲史
2024-03-25 14:45:46
万科公告:今天起郁亮月薪1万,还是税前

万科公告:今天起郁亮月薪1万,还是税前

说财猫
2024-03-28 22:49:47
3月26日,Angelababy,还真被网友说中了!

3月26日,Angelababy,还真被网友说中了!

元气少女侃娱乐
2024-03-26 12:55:16
今天有一组数据把我吓到了:中国的职业主播数量已经有1508万人。

今天有一组数据把我吓到了:中国的职业主播数量已经有1508万人。

琼瑶史事
2024-03-29 00:19:21
中国常驻联合国代表张军大使向联合国秘书长古特雷斯等辞行

中国常驻联合国代表张军大使向联合国秘书长古特雷斯等辞行

界面新闻
2024-03-29 08:42:26
杂谈:陈独秀后期看穿了苏俄的本质

杂谈:陈独秀后期看穿了苏俄的本质

黄河新流域
2024-03-29 05:40:04
怎么这些支持俄罗斯的人,都喜欢在美国买房?

怎么这些支持俄罗斯的人,都喜欢在美国买房?

走读新生
2024-03-28 18:49:46
曝李铁已被剃光头,刘海也没了,媒体人:他出庭时戴的应该是假发

曝李铁已被剃光头,刘海也没了,媒体人:他出庭时戴的应该是假发

体坛扒客
2024-03-29 00:24:07
2024-03-29 09:16:49

科技要闻

雷军:我们是卷王,建议BBA车主感受下时代

头条要闻

腊肉直播事件6人涉诈骗被刑拘 黄圣依:消息大快人心

头条要闻

腊肉直播事件6人涉诈骗被刑拘 黄圣依:消息大快人心

体育要闻

拒绝为国出战,他是足坛"天选打工人"

娱乐要闻

莱昂纳多与25岁新女友互相投喂超恩爱

财经要闻

展车撞人 投诉飙升 极氪该掰谁的手腕?

汽车要闻

混动增程双模式 长安UNI-Z售11.79万起

态度原创

亲子
本地
时尚
手机
公开课

亲子要闻

萌娃刚脱完尿布湿,小小年纪就叱咤健身房了!

本地新闻

专访|张伟潮:最年轻的龙头专职制造者

时尚无关年龄!当你学会这些气质搭配,50岁女人也依然很美

手机要闻

不到2000元能买到这样的手机?以前我想都不敢想!

公开课

30岁之前,你要学会的13件事情

无障碍浏览 进入关怀版
×