王嘟嘟的博客

继参数和值之后，出现includeParams相关漏洞。Struts2 是一个基于 Java 的开发框架，用于构建 Web 应用程序。它提供了一组易于使用的组件和标签，可以帮助开发人员创建和管理Web 应用程序。Struts2 帮助开发人员集中精力在业务逻辑方面而不是底层基础架构，简化了 Web 应用程序的开发过程。在Struts2 中，使用MVC（模型-视图-控制器）模式来组织应用程序的代码。它是一种轻量级的框架，可以与其他框架和技术集成。Struts2 是一个基于 Java。

009是在003以及005的基础上进行了绕过。ParameterInterceptor会对参数进行检测，但是不会对参数的值进行检测，那么就形成了绕过。

把笔记上的东西摘录过来。记录一下s2 007的相关内容。一是记录，二是方便复习。

一直在忙其他的事情，Struts2的事情就耽搁下来了，乘着今天有空，抓紧时间看一下。

一直被Ognl卡着，主要描述了Ognl setValue poc触发的原理和方式。

这里整合一下反序列化调用链的文章。

似乎从来都没有管过Jackson的问题，所以Jackson还是要捡起来的。本次分析的漏洞是CVE-2016-3720，xxe漏洞，CVE链接：https://cve.mitre.org/cgi-bin/cvename.cgi?因为太简单，也没有什么人复现。