初探 Struts2 框架安全--技术头条 -- 微博大V帮你宣传技术博文开发者头条码农头条

【简介】

最近分析 confluence 的漏洞，发现是基于 Struts 框架的，其中有很多相关知识点并不了解，因此专门来学习一下 Struts 2。

在网上一搜 Struts 2 资料发现介绍漏洞的文章比介绍开发的还多，少数开发者的声音也是 “Struts 过时了吗？” 之类的疑问，事实上这个框架也确实是过时了，现在Java Web 开发早已是 Spring 全家桶一统江山的局面。但我们也不能不承认曾经 Struts 的地位。Struts2 + Spring + Hibernate 三大框架在当年组合号称 SSH，对 Java Web 应用生态产生了深远的影响，以至于现在有许多知名应用中还有 Struts 的影子。

因此，即便 Struts 已经日薄西山，对于 Java 安全研究者而言也是需要深入了解的目标，就像二进制研究员需要理解 “过时” 的 jmp esp 栈溢出利用方法一样。

点击查看全文 >>

由 @技术头条 2023-11-06 22:58 / 0个评论

赞过的人： @IT技术博客大学习

Android｜集成 slf4j + logback 作为日志框架 (mazhuang.org)

最近在做一个 Android APP 的日志改造，我搜了一下「Android 日志框架」，大多网友推荐的是 logger、timber、xLog 等等，看着也不错。不过出于几年后端开发的经验和习惯，我进一步了解，发现熟悉的 log4j 和 logback 在 Android 上也有人做过适配，所以最终决定使用 slf4j + logback，以在前后端开发中取得一致的体验。

by @技术头条 2023-10-30 22:56 查看详情

美团前端研发框架Rome实践和演进趋势 (tech.meituan.com)

本文整理自美团技术沙龙第76期《大前端研发协同效能提升与实践》，为大家介绍了美团到店前端研发框架Rome实践和演进趋势。具体来讲，本文首先介绍了Rome整体的工程生态、演变路径、规模化升级以及工程框架外的开发辅助工具；第二部分，重点阐述了如何做框架度量和相关的业务实践；最后做整体的总结以及对工程框架的下一阶段的思考。希望能对大家带来一些帮助或启发。

by @技术头条 2023-08-18 22:56 查看详情

Robust 2.0：支持Android R8的升级版热修复框架 (tech.meituan.com)

2016年，我们对美团Android热更新方案Robust的技术原理做了详细介绍。近几年，Google 推出了新的代码优化混淆工具R8，Android 热修复补丁制作依赖二次构建包和线上包对比，需要对Proguard切换到R8提前进行适配和改造，本文分享 Robust 在适配 R8 以及优化改进中的一些思路和经验，希望能对大家有所帮助或者启发。

by @技术头条 2023-06-24 09:21 查看详情

从零开始的 Boa 框架 Fuzz (paper.seebug.org)

最近在搞Iot的时候接触到Qiling框架，用了一段时间后感觉确实模拟功能挺强大的，还支持Fuzz，于是开始学习对Iot webserver这样的程序进行Fuzz。

官方给出了类似的例子如Tenda AC15 的httpd的fuzz脚本，但是也就光秃秃一个脚本还是需要自己来一遍才能学到一些东西；因为面向的是Iot webserver的Fuzz因此需要对嵌入式设备中常用web开源框架有一些了解，这里是对于Boa框架的fuzz案例。

by @技术头条 2023-02-12 14:10 查看详情

【公益译文】了解、预防、修复：开源漏洞讨论框架 (blog.nsfocus.net)

开源软件的安全性引起了业界关注，这并不奇怪。在实施相关安全方案时，需要对过程中的挑战与合作达成共识。这个问题很复杂，涉及方方面面：供应链、依赖关系管理、身份和构建管道。问题捋清后，解决方案也就呼之欲出。为方便业界讨论开源软件中的漏洞以及首要着眼点，我们提出了一个框架（“了解、预防、修复”），内容包括：

• 元数据和身份标准共识：行业需要就解决这些复杂问题的基本原则达成共识。在元数据细节和身份方面统一看法后，将推动自动化，减少更新软件所需的工作量，并将漏洞的影响降至最低。

• 提高关键软件的透明度，加强对这些软件的审查：对于对安全至关重要的软件，我们需要就开发过程达成一致，确保充分审查，过程透明，避免单方面更改，最终产生语义清晰的可验证官方版本。

by @技术头条 2022-12-24 23:34 查看详情

智能搜索模型预估框架Augur的建设与实践 (tech.meituan.com)

本文将与大家探讨美团搜索与NLP部使用的统一在线预估框架Augur的设计思路、效果、优势与不足，希望对大家有所帮助或者启发。

by @技术头条 2022-09-12 22:41 查看详情

全球IPv4 AS拓扑测绘初探 (blog.nsfocus.net)

网络拓扑测绘是网络空间测绘中的关键一环，主要体现了网络空间中资源之间的物理和逻辑通联关系。根据OSI七层网络体系结构分，有物理层的光纤、电缆拓扑，数据链路层的二层交换机拓扑，网络层的路由器拓扑，应用层的服务拓扑等等。本文主要考虑网络层的AS（Autonomous System，自治域）级拓扑，面向全球IPv4地址空间自治域编号，研究其注册、分配、使用现状，为后续重点关注地区网络拓扑测绘提供数据和技术支撑。

by @技术头条 2022-09-12 22:39 查看详情

Android 框架问题分析案例 - 谁杀了桌面? (androidperformance.com)

写这篇文章的契机是因为一个实际遇到的问题 , 这个问题其实不难 , 不过在分析了这个问题然后写日记的时候 , 我突然觉得这个问题分析的过程有必要记录一下 , 分享给大家 . 分析过程中有用到一些工具 , 一些方法 , 也从另外一个聪明的小伙伴梅明那里学到了一些分析技巧和工具的使用技巧。

by @技术头条 2022-07-24 21:15 查看详情

图神经网络训练框架的实践和探索 (tech.meituan.com)

美团搜索与NLP团队在图神经网络的长期落地实践中，基于业务实际场景，自主设计研发了图神经网络框架Tulong，以及配套的图学习平台，提升了模型的规模和迭代效率。本文介绍了模型归纳抽象、基本框架、性能优化，以及上层工具等方面的思考和关键设计，希望为从事相关工作的同学带来启发或者帮助。

by @技术头条 2022-07-24 20:45 查看详情

Java框架Mybatis插件开发指南，超详细！ (mp.weixin.qq.com)

关于Mybatis插件，大部分人都知道，也都使用过，但很多时候，我们仅仅是停留在表面上，知道Mybatis插件可以在DAO层进行拦截，如打印执行的SQL语句日志，做一些权限控制，分页等功能；但对其内部实现机制，涉及的软件设计模式，编程思想往往没有深入的理解。

by @code小生 2022-06-26 11:30 查看详情