常见的框架漏洞有什么

常见的框架漏洞有以下这些：

• Spring框架漏洞：Spring Security OAuth2是为Spring框架提供安全认证支持的一个模块。Spring Security OAuth2处理认证请求的时候如果使用了whitelabel views，response_type参数值会被当做Spring SpEL来执行，攻击者可以在被授权的情况下通过构造response_type值也就是通过构造恶意SpEL表达式可以触发远程代码执行漏洞。故是在需要知道账号密码的前提下才可以利用该漏洞。

• Struts2框架漏洞：Struts2是一款基于Java开发的框架，web路径下会出现两种特殊的文件格式，即.action文件与.jsp文件;现阶段已知的S2poc大多数都是远程命令执行漏洞，主要出现位置有url中，报文内容中，content-type中;

• ThinkPHP框架漏洞：thinkphp是一个国内轻量级的开发框架，采用php+apache，在更新迭代中，thinkphp也经常爆出各种漏洞，thinkphp一般有thinkphp2、thinkphp3、thinkphp5、thinkphp6版本，前两个版本已经停止更新。

• shiro框架漏洞：Shiro默认使用了CookieRememberMeManager，其处理cookie的流程是: 得到rememberMe的cookie值–>Base64解码–>AES解密–>反序列化.然而AES的密钥是硬编码的，密钥泄漏的根本原因是开发人员在开发过程中部分代码直接使用了网上的一些开源的项目代码，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。