struts2框架漏洞
2017年，框架一个叫S2-045的漏洞漏洞让全球大量使用Struts2的网站集体裸奔。攻击者只需要向服务器发送一个精心构造的框架Content-Type头，就能远程执行任意代码——不需要账号，漏洞不需要密码，框架甚至不需要点任何链接。漏洞这套曾经统治Java Web框架的框架巨人，就这样被一个HTTP头击穿了胸口。漏洞
Struts2的框架漏洞史，基本就是漏洞一部OGNL表达式的滥用史。OGNL本该是框架框架内部处理数据的工具，结果开发者们发现它太强大了——强大到能调用静态方法、漏洞访问任意对象属性，框架甚至直接执行Java代码。漏洞框架把这些能力暴露给了用户输入，框架还天真地以为没人会往里塞恶意内容。S2-001时代，攻击者往URL里塞OGNL表达式就能拿到服务器权限；到了S2-016，一个参数名的正则校验缺陷，让所有使用默认配置的站点全线崩溃。
我印象最深的是S2-032那次。当时某知名电商平台的技术团队凌晨三点在群里哀嚎，因为他们的核心订单系统用的是Struts2，而漏洞利用代码在网上已经公开了PoC——复制粘贴就能打。那种感觉就像你家的门锁被撬了，而撬锁教程在YouTube上播放量破了十万。他们最终花了整整两天时间紧急升级版本，期间订单量掉了三成，因为用户访问时页面频繁报错。
为什么这框架总在同一个坑里翻车？根本问题在于设计哲学。Struts2把“灵活”放在了“安全”前面，OGNL表达式允许开发者用几乎任意方式操作对象图，但框架本身没法判断哪些调用是合法的。它像一个没有安检门的机场——乘客可以带任何液体上飞机，只要他们承诺自己不是恐怖分子。Apache官方修漏洞的方式也很有意思，每次都是加黑名单——拦截某些危险方法调用，加正则过滤特殊字符。可攻击者总能找到绕过办法，因为黑名单永远追不上新思路。
到了2018年，S2-057再次引爆，这次连Apache自己都承认，修复方案存在逻辑缺陷。当时业内流传一个笑话：Struts2的每个版本发布说明，其实就是下一轮漏洞预告。很多公司终于受够了，开始系统性迁移到Spring MVC。我认识的一位架构师说，他们团队迁移花了四个月，但之后三年再没因为框架漏洞熬过夜。
Struts2至今仍活着，大量老旧系统还在跑它，尤其金融和政企项目。这些系统就像穿着补丁摞补丁的旧棉袄——每个漏洞出来就打个补丁，打不上就加个防火墙规则，实在不行就内网隔离。可内网就绝对安全吗？S2-045那次，有个银行的内网系统照样被打穿，因为攻击者先攻破了一台暴露在外的边缘机器，然后横向移动进内网，用同样的漏洞代码直接拿下了核心数据库。安全这东西，从来就没有一劳永逸的解法。框架会老，攻击手法会进化，但最根本的教训始终没变：别把用户的输入当成可信数据，永远别。