大笨鳥的私房菜

最近打算將 Struts 2.0.x 版本直接升到 2.2.1，但如此一來之前為 Struts 2.0.x 所寫的一些能讓 XML 配置檔的 include tag 使用萬用字元的 Class 就無法運作了。

為了讓 Struts 2.2.1 XML 配置檔的 include tag 也能使用萬用字元，所以我又回頭去追原始碼，打算像之前 Struts 2.0.x 版一樣自己來寫一個，但是在追原始碼的過程中，我發現 Struts 2.2.1 本身已經有支援 include tag 使用萬用字元了，於是我在往前回溯到之前一度用過的 Struts 2.1.6，發現在 2.1.6 其實就已經有支援了，雖然我沒有再往前追查 2.1 最早的版本，但我相信 2.1 應該就已經支援了，而且不論如何，至少 2.1.6 確定是有支援配置檔的 include tag 使用萬用字元。

會有這個後續篇，主要是因為笨鳥對於用來攻擊的 OGNL 語法不甚了解，於是想研究看看，再加上在找相關資料的過程中，看到了這篇文章「Struts2 與 Webwork 遠程命令執行漏洞分析」裏提到，光只過濾「\u0023」仍無法堵住這個漏洞，因此在土法鍊鋼的反覆測試與參考上述文章後，有了些心得可以記錄下來。

因為是土法鍊鋼，所以有些地方笨鳥就只能針對觀察到的現象加以描述，而無法用什麼理論來驗證，這個可能要先說在前頭了。

剛國鏈傳來一個訊息，是有關 Struts 2 的一個重大漏洞，這個漏洞的嚴重性能讓有心人藉由傳遞 URL 的參數來亂搞整台 Server 。

相關文章請參考以下的連結：

版本：
　　Struts 2.0.14

• Struts 2.1 預設是無法使用 Ognl 呼叫 class 中的 static method，必須在 struts.xml 或 struts.properties 中，將 struts.ognl.allowStaticMethodAccess 設成 true 才可作用。