Struts2脆弱性対策、実は無意味だった！JPCERTが指摘
JPCERTコーディネーションセンター（JPCERT/CC）は2017年3月17日、同月9日に公開した注意喚起で挙げた「Apache Struts2」の脆弱性対策、「ソフトウエア『Jakarta Multipart parser』の入れ替え」では引き続き攻撃を受けてしまうと発表した。 JPCERTコーディネーションセンターの注意喚起。3月9日に公開した情報に追記として、今回の情報を追加している。URLは、https://www.jpcert.or.jp/at/2017/at170009.html。 Apache Struts2は、JavaのWebアプリケーションフレームワーク。多くのWebサイトで採用される。3月9日に公開された脆弱性（S2-045）を悪用されると、コンテンツを改ざんされたり、サーバー内のファイルを閲覧されたりする被害を受ける。国内でも被害が続出している。 JPCERT/C
2017年3月に発生したApache Struts 2で稼働していたとみられるWebサイトへの不正アクセスについてまとめてみた - piyolog
2017年3月に複数のWebサイトが外部からの不正アクセスを受けたことを発表しています。また一部では不正アクセスが成功し、情報が盗まれたり、データが削除されるといった被害が発生しています。 攻撃を受けたWebサイトはApache Struts 2で稼働していたとみられ、またGMOペイメントゲートウェイはApache Struts2の脆弱性を悪用した不正アクセスであったことを明らかにしています。ここでは3月に発表されたApache Struts 2で稼働するWebサイトへの不正アクセスについてまとめます。 被害状況の概要 攻撃を受けたサイトやその被害概要をまとめると次の通り。 運営元 攻撃を受けたサイト 被害状況 トヨタファイナンス GMOペイメントゲートウェイ 都税クレジットカードお支払いサイト(旧) ⇒新しいドメインへ移転 機構団体信用生命保険特約料クレジットカード支払いサイト サイトに
Strutsリファレンス<logic:messagesPresent、messagesNotPresent>
<%@ page pageEncoding = "Shift_JIS" %> <%@ page contentType="text/html; charset=Shift_JIS" %> <%@ taglib uri="/tags/struts-logic" prefix="logic" %> <%@ taglib uri="/tags/struts-bean" prefix="bean" %> <html><body> <%-- エラーメッセージが存在するかチェックする条件式 --%> <logic:messagesPresent > エラーメッセージは存在します <br><br> </logic:messagesPresent> <%-- エラーメッセージが存在しないかチェックする条件式 --%> <logic:messagesNotPresent > エラーメッセージは存在しません
5. パラメータ値のチェックとHTMLタグライブラリ (3)
Struts 5章 パラメータ値のチェックとHTMLタグライブラリ 5.1. ActionForm Beanのvalidateメソッド 5.2. エラーメッセージの表示 5.3. HTMLタグライブラリ 5.4. formタグ／submitタグ／cancelタグ／resetタグ 5.3. HTMLタグライブラリ 入力値の検証でエラーが確認された場合、Struts設定ファイルで指定した入力ページに遷移しますが、入力したデータはフォームに表示されません。ActionForm Beanはscope属性で指定したスコープ（requestかsession）に登録されるので、JSPを使用して表示させる事も可能ですが、Strutsはそれを楽にする機能も提供しています。度々、登場しているHTMLタグライブラリを利用します。 HTMLタグライブラリは、通常のHTMLのタグに置き換えて使用します。HTMLタグ
Strutsリファレンス<bean:define>
<%@ page pageEncoding = "Shift_JIS" %> <%@ page contentType="text/html; charset=Shift_JIS" %> <%@ taglib uri="/tags/struts-bean" prefix="bean" %> <%-- 文字列”こんばんは”を変数”stringMessage”で定義する --%> <bean:define id="stringMessage" value="こんばんは" /> <%-- セッションkey"userdata"のUserDataオブジェクトを変数”udata”で定義する --%> <bean:define id="udata" name="usrdata" type="sample.bean.UserData" /> <&-- セッションkey"userdata"のUserData
S2-020類似攻撃のStruts1での対策方法 - Qiita
恐ろしいことですが、実装が全然違うStruts2の脆弱性S2-020と同様の攻撃手法で、Struts1も脆弱性があることが分かりました。 http://www.lac.co.jp/security/alert/2014/04/24_alert_01.html ここではあまり明らかになっていませんが、原因は // Set the corresponding properties of our bean try { BeanUtils.populate(bean, properties); } catch(Exception e) { throw new ServletException("BeanUtils.populate", e); } finally { if (multipartHandler != null) { // Set the multipart request handl
Webプログラミングの前提知識をおさえる
本連載では、この4つの要素のうち、(1)のJSPの機能と言語仕様に主眼を置いていますが、ほかの3つの要素なしにはWebプログラミングは成り立ちません。この4つの関係をイメージしながら、JSPのプログラムを見ていくことで、全体の見通しがよくなるでしょう。例えば処理結果を見栄えよく出力するためにはHTMLについての知識を用い、フォームからのデータの送信にPOSTやGETを使用する際にはHTTP通信のことをイメージしながら見ていくとよいでしょう。以下に、HTML、Apache、HTTPのそれぞれについて簡単にまとめます。 ●HTML まず、ユーザーからのデータの受け渡しを行うための<FORM>タグによるHTMLの記述は、最低限理解する必要があります。HTMLに関する解説は、すでに数多くの書籍が出版されていますので、それらを参考にするとよいでしょう。また、JSPではHTMLによるプレゼンテーション
Strutsリファレンス<logic:iterate>
<%@ page pageEncoding = "Shift_JIS" %> <%@ page contentType="text/html; charset=Shift_JIS" %> <%@ taglib uri="/tags/struts-logic" prefix="logic" %> <%@ taglib uri="/tags/struts-bean" prefix="bean" %> <% String[] strArray = {"str1","str2","str3"}; %> <html><body> ●JSP内で生成したString型の配列を表示する。<br> <logic:iterate id="data" collection="<%= strArray %>" indexId="idx" > <bean:write name="idx" /> ： <bean:w
ＪＳＰリファレンス（@page：import、session）
@page：import（ パッケージ、ファイルのインポート定義 ） ● <%@ page import="パッケージ" %> パッケージ ・・・ javaパッケージ名、または、クラス名。 セミコロン（;）を使用して、１行に複数指定も可能。 import属性は、JSP内で使用するjavaパッケージ、または、クラスファイル名を指定します。 複数指定する場合は、セミコロン（;）を使って１行で指定するか、または、import属性の宣言を複数行宣言するかどちらでも可能です。 ただし、可読性を考慮すれば、複数行で宣言した方がいいと思います。 実装例 <%@ page import="java.text.*" %> <%@ page import="java.util.ArrayList;java.util.HashMap" %> @page：session（ セッション利用定義 ） ● <%@ pa
Strutsリファレンス<html:errors>
validatorエラーのエラーメッセージを表示するには<html:errors>タグを使用します。 ＪＳＰ使用例 <%@ page pageEncoding = "Shift_JIS" %> <%@ page contentType="text/html; charset=Shift_JIS" %> <%@ taglib uri="/tags/struts-html" prefix="html" %> <html><body> <B>★全件エラー表示</B> <BR><BR> <!-- 全てのエラーメッセージを表示する --> <html:errors/> <BR><hr><BR> <B>★個別エラー表示</B> <html:form action="/validate_view" method="post"> <!-- プロパティ「userId」のエラーメッセージを表示する--> <h
Javaの道：Struts（１３．メッセージ・リソースファイル）
記載方法 キーとメッセージで管理するメッセージを記載します。キーとメッセージの間は「=」で区切ります。 メッセージが長い場合は「\」で改行した文字列を連結ることができます。 可変の置き換え文字を{0}～{4}で指定できます。置き換え文字は<beam:message>タグのarg0からarg4属性で指定します。 メッセージ・リソースファイルの拡張子は「.properties」です。 【xxx.properties】メッセージ・リソースファイルの記載例です。 # キー「error.name」、メッセージ「name is not correct.」を指定 error.name=name is not correct. error.pass=password is not correct. # 可変の置き換え文字{0}を指定 message.confirm =Please confirm {0}.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
bean:write -JSP＊タグリファレンス
Struts Logic Tag Tutorial - DZone
logic:equal -JSP＊タグリファレンス
html:base -JSP＊タグリファレンス
logic:present -JSP＊タグリファレンス
logic:notPresent -JSP＊タグリファレンス