Struts 2 Bad Practices: Application Map Tampering

Struts 2.x 動作實作某類別，攻擊者可藉此透過將任意資料繫結至階段作業、應用程式或要求伺服器端物件，以修改應用程式的業務邏輯。

Apache Struts 2.x 包括新的 Aware 介面，開發人員可藉此將對映 (含相關執行階段資訊) 輕鬆注入其動作程式碼。這些介面包括：org.apache.struts2.interceptor.ApplicationtAware、org.apache.struts2.interceptor.SessionAware 和 org.apache.struts2.interceptor.RequestAware。為了將其中任何資料對映注入其動作程式碼，開發人員需要實作介面中指定的 Setter (例如：SessionAware 介面的 setSession)：

public class VulnerableAction extends ActionSupport implements SessionAware {

  protected Map<String, Object> session;

  @Override
  public void setSession(Map<String, Object> session) {
    this.session = session;
  }

另一方面，Struts 2.x 會透過動作中定義的公用存取子，將來自使用者的要求資料自動繫結至動作的屬性。由於 Aware 介面需要實作 Aware 介面中定義的公用 Setter，因此該 Setter 也會自動連結至符合 Aware 介面 Setter 名稱的任意要求參數，遠端攻擊者可能會藉此修改實作受影響介面的應用程式的參數，以修改執行階段資料值，如 SessionAware、RequestAware、ApplicationAware 介面所示。

以下 URL 將允許攻擊者覆寫階段作業對應中的「roles」屬性。這可能會允許攻擊者成為管理員。

http://server/VulnerableAction?session.roles=admin


雖然這些介面僅需要實作 Setter 存取子，但是若同時已實作對應的 Getter，則對這些對應集合的變更將在階段作業範圍內生效，而不僅僅是對目前要求的範圍產生影響。