Struts 2 Bad Practices: Request Map Tampering

Struts 2.x Action 实施类，使攻击者有机会通过将任意数据绑定到会话、应用程序或请求服务器端对象，修改应用程序的业务逻辑。

Apache Struts 2.x 包含新的 Aware 接口，允许开发人员使用相关运行时信息，轻松将映射注入到其 Actions 代码中。这些接口包括：org.apache.struts2.interceptor.ApplicationtAware、org.apache.struts2.interceptor.SessionAware 和 org.apache.struts2.interceptor.RequestAware。为了将这些数据映射中的任意内容注入到其 Actions 代码中，开发人员需要实现接口中指定的 setter（例如：setSession，适用于 SessionAware 接口）：

public class VulnerableAction extends ActionSupport implements SessionAware {

  protected Map<String, Object> session;

  @Override
  public void setSession(Map<String, Object> session) {
    this.session = session;
  }

另一方面，Struts 2.x 会自动通过 Action 中定义的 public accessors 将来自用户的请求数据绑定到 Action 的属性。由于 Aware 接口要求实现 Aware 接口中定义的 public setter，因此这一 setter 也将自动绑定到与 Aware 接口 setter 名称相匹配的任意请求参数，这可允许远程攻击者通过伪造的参数修改应用程序的运行时数据值，使其实现的接口受到影响，如 SessionAware、RequestAware、ApplicationAware 接口所示。

下面的 URL 将允许攻击者重写会话映射中的“roles”属性。这可能会使攻击者成为管理员。

http://server/VulnerableAction?session.roles=admin


当这些接口仅要求实现 setter accessors 时，如果同时也实现相应的 getter，则对这些映射集合的更改将在会话范围内持续，而不是仅影响当前的请求范围。