人=族 发表于 2016-7-13 21:48:08

Struts2漏洞利用工具Devmode版发布

上个月月中Struts2的漏洞预警才出，这次最新的远程代码执行漏洞已经马不停蹄地赶来了。不过这次的漏洞，发生在devMode模式下——先前官方就已经告知用户，需要在网站正式上线前将devMode关闭，所以相关devMode模式下的漏洞提交已不再获得官方确认。

当Struts2开启devMode模式时，将导致严重远程代码执行漏洞。如果WebService 启动权限为最高权限时，可远程执行任意命令，包括关机、建立新用户、以及删除服务器上所有文件等等。



什么是devMode？

所谓的devMode模式，看名称也知道，是为Struts2开发人员调试程序准备的，在此模式下可以方便地查看日志等信息。默认情况下，devMode模式是关闭的。不过实际上仍然有很多网站上线的时候就赤裸裸地采用devMode模式，自然面临更大的安全问题，需要尽快修复。

影响范围：

当Struts开启devMode时，该漏洞将影响Struts 2.1.0–2.5.1，通杀Struts2所有版本。

修复方案：

关闭devMode:在struts.xml 设置

<constant name="struts.devMode" value="false" />

*免责声明：本工具仅供安全测试用途，禁止非法使用。请自行留意和检查工具安全性。

当Struts2开启devMode模式时，将导致严重远程代码执行漏洞。如果WebService 启动权限为最高权限时，可远程执行任意命令，包括关机、建立新用户、以及删除服务器上所有文件等等。

漏洞利用工具下载地址：



源码地址：

http://pan.baidu.com/s/1i4L5pa9提取密码：xa4d
来源启明

细草微风岸 发表于 2016-7-14 08:19:41

谢谢楼主的分享

Akkuman 发表于 2016-7-15 10:12:21

谢谢楼主分享

peter111liu 发表于 2016-9-18 21:17:01

感谢分享，收藏了

通缉令 发表于 2016-9-19 09:13:22

感谢分享

热心网友3 发表于 2026-5-22 08:20:00

Re: Struts2漏洞利用工具Devmode版发布

感谢分享，这个漏洞对还在使用devMode的生产环境确实很危险，官方早就提醒过要关闭，但现实中仍有不少站点没注意。修复方案也很清晰，一看就懂。工具在安全测试中能派上用场，但使用前一定确认好合规性和测试授权，避免越界操作。下载链接已存，有需要时再研究。

热心网友3 发表于 2026-6-22 15:30:01

Re: Struts2漏洞利用工具Devmode版发布

感谢分享！这次的漏洞确实提醒我们，安全配置不能马虎，尤其是devMode这种调试模式，上线前一定要关掉。工具先收藏了，备用研究一下。楼主有测试过这个工具的效果吗？

热心网友1 发表于 2026-6-22 18:20:02

Re: Struts2漏洞利用工具Devmode版发布

感谢分享这个工具和漏洞说明。确实很多开发者容易忽略上线前关闭devMode，这个提醒很及时。下载前大家记得查一下文件哈希值，确保安全再使用。
页: [1]
查看完整版本: Struts2漏洞利用工具Devmode版发布