默认配置Struts？哎哟喂，这坑我替你踩过了！
兄弟们，姐妹们，干咱们网络安全这行的，谁还没跟Struts谈过几场“虐恋”啊？特别是那个默认配置Struts，我跟你们说，这玩意儿简直就是“漏洞批发市场”的亲儿子！每次看到甲方爸爸发来一个“全新上线”的系统，我第一反应不是恭喜，而是心里咯噔一下：这哥们儿不会又用默认配置了吧？
哎，不是我说风凉话，咱们扪心自问，有多少次为了赶项目进度，直接解压一个Struts2的包，下一步”、“下一步”、“完成”，跑起来就算交差了？那个struts.xml文件，是不是永远都是那几行老掉牙的欢迎词？还有那个web.xml里的过滤器配置，是不是闭着眼睛都能背出来？我跟你说，这种默认配置Struts，在黑客眼里，那就跟没穿衣服逛街一样，满身都是破绽，就差在脑门上刻着“来打我呀”了。
你瞧，那些扫描器一扫一个准儿，什么S2-045、S2-046、S2-057，哪个不是专门盯着这些“懒人配置”来的？咱们做安全的，最怕的就是这种“我以为我很安全”的错觉，你以为默认的就是安全的？天真！太天真了！那帮搞渗透的，最爱的就是咱们的“想当然”，那个OGNL表达式注入，你以为是多高深的技巧？很多时候，就是瞅准了你那个默认配置Struts里没改的struts.multipart.parser，一个恶意的Content-Type头甩过来，直接就能给你把服务器端给“拿捏”了，哎呀，说到这里我都来气，上次帮客户排查一个入侵事件，好家伙，那攻击日志长得跟裹脚布似的，源头就是一个小小的上传组件用了默认配置，结果整个内网都被人溜达了一圈,想想都后怕！
咱们换个角度想啊，默认配置Struts这玩意儿，它就像一个万能钥匙的锁芯，出厂设置嘛，大家都一样，你能开，我也能开，关键是所有用这锁的门都长得一样，你说这合理吗？这不扯淡吗！咱们做安全防护的，遇到这种“大众脸”的配置，脑袋瓜子嗡嗡的，你得从那些千篇一律的代码里，找出用户自己后来加上去的那一丁点儿定制逻辑，才能勉强找到点“个性”，不然的话，你防住了这个漏洞，那个漏洞又冒出来了，就像打地鼠一样,累死个人！
所以啊，我在这儿真心实意地跟各位同行，尤其是那些刚开始接触业务系统的新朋友说一句：千万别偷懒！ 那个默认配置Struts，看着是省事儿了，实际上是把你的系统架在火上烤啊！你得改啊！把那些不必要的拦截器统统去掉，把上传大小限制得死死的，把异常信息处理得模棱两可，别让报错信息把老底儿都给供出来，你得让攻击者猜不透你，摸不着你，他才拿你没办法，咱们做安全的，就是要跟别人“不一样”，越“别扭”越好，越“怪”越安全。
哎，怎么说呢，每次我写代码或者配置服务器的时候，脑子里那根弦都是绷紧的，一想到那个默认配置Struts可能带来的连锁反应，我就浑身不自在，这不仅仅是一个技术问题，更是一个态度问题，你重视它，它就给你保平安；你忽视它，它就能让你一夜回到解放前，反正我是被这玩意儿折腾得不轻，真的，说多了都是泪啊！希望看到这篇文章的你，千万千万别再重蹈我的覆辙了,真心话！
好吧，今天关于这个默认配置Struts的碎碎念就到这里，我要去做那个“让别人猜不透”的配置去了,拜拜了您嘞！
学习网络安全可以加QQ：88888888（请备注“博客学习”）
