全版本struts2漏洞練習

 

 

docker中有struts2全版本的漏洞平台

 

1、首先在docker中進行下載：

# docker pull 2d8ru/struts2

 

2、其次運行：（48729為物理機的端口，可隨意指定）

# docker run --name struts2 -p48729:8080 -d 2d8ru/struts2

 

3、下載struts2漏洞掃描工具：

https://github.com/Lucifer1993/struts-scan

該工具支持對以下的漏洞進行檢測：

ST2-005
ST2-008
ST2-009
ST2-013
ST2-016
ST2-019
ST2-020
ST2-devmode
ST2-032
ST2-033
ST2-037
ST2-045
ST2-046
ST2-048
ST2-052
ST2-053
ST2-057

 

 

4、

說明：需要檢測哪一個漏洞就直接更改S2-032處就可以了，如檢測S2-032，那么輸入地址：http://192.168.43.14:48729/S2-032/         即可進入到存在S2-032漏洞的地址。

在瀏覽器中打開存在S2-032漏洞的地址，得到該url：http://192.168.43.14:48729/S2-032/memoshow.action?id=3

 

5、使用struts2漏洞掃描工具對目標網站進行檢測並且可以直接利用：

[1] 可以批量檢測全部漏洞，但經過測試，覺得不准確。

 

[2] 建議使用指定漏洞的方法進行檢測：

 

{ 經測試，除了008、009、046、048、052 這幾個漏洞，其他漏洞均可以使用上述方法進行檢測並利用 }

{ 該漏洞平台沒有 020、 057 這兩個漏洞 }