Struts2 S2-016远程代码执行漏洞修复详细步骤与安全加固经验总结

在Struts2的历史安全漏洞中，S2-016无疑是一个里程碑式的风险事件——尤其对于仍在维护老旧系统的团队而言，这几乎是一个无法回避的历史遗留问题。

该漏洞影响范围覆盖了Struts 2.0至2.3的所有版本，一旦被攻击者利用，可远程执行任意命令并完全控制服务器，进而导致敏感数据泄露，后果极为严重。

针对S2-016漏洞的修复，业界总结出四种主流方案，各有侧重，也各有取舍。

1、升级版本

Apache官方推荐的标准做法是：将Struts2版本升级至2.3.15以上。具体操作为替换项目中的几个核心JAR包，清单如下：

commons-lang3-3.2.jar
freemarker-2.3.22.jar
javassist-3.11.0.GA.jar
ognl-3.0.6.jar
struts2-core-2.3.24.jar
struts2-spring-plugin-2.3.24.jar
xwork-core-2.3.24.jar

直接用这些新版本的JAR包（版本号可能因实际环境略有差异）替换旧版本即可。但这种方式有一个明显的短板：如果系统本身非常复杂，依赖关系错综复杂，很容易出现版本不兼容或JAR冲突，导致部分功能无法正常运行。

2、覆盖JAR包

下载上面这张图片，将后缀名改为.zip，解压后得到三个文件夹。将这三个文件夹整体复制到漏洞系统的src目录下。然后在web.xml中添加一个监听器：

  org.hdht.commonweb.listener.MyServletContextListener

最后重新发布项目，重启服务器即可生效。

3、修改Struts2的源码

找到项目中的struts2-core-2.2.3.jar，反编译获得源码。在Eclipse中新建一个Java项目，将反编译出的源码导入。然后找到org\apache\struts2\dispatcher\mapper\DefaultActionMapper.java，修改其中的handleSpecialParameters方法，在while循环（或for循环）中加入以下代码：

if (key.endsWith(".x") || key.endsWith(".y")) {
    key = key.substring(0, key.length() - 2);
}

保存。这个新项目可能缺少依赖，需要导入xwork-core-2.1.6.jar和servlet-api.jar。然后将新项目导出为JAR包，用下图中的7个类替换原struts2-core-2.2.3.jar中的对应类。

4、结合第2和第3种方式

同样需要反编译获取Struts2源码，步骤同第3种。然后下载第2步中的压缩包，解压后得到三个文件，将其添加到新项目的org\apache\struts2\dispatcher\mapper包中，如下图所示：

接着修改DefaultActionMapper.java中的handleSpecialParameters方法，在while循环中加入如下代码：

if (JavaEEbugRepair.repair_s2_017(key)) {
    return;
}
if ((key.contains("action:")) || (key.contains("redirect:")) || (key.contains("redirectAction:"))) {
    return;
}

保存后导出为JAR包。用新JAR包中的7个类替换原JAR中的对应类，同时加入新包repair。最后将替换后的JAR复制到项目中，覆盖原来的JAR包。

总结

以上四种方案基本覆盖了所有项目场景下的S2-016漏洞修复需求。实际选择哪种方法，取决于项目本身的复杂度以及团队对风险的控制偏好。