2017年3月6日,Apache Struts2被曝存在远程命令执行漏洞,漏洞编号为S2-045。该漏洞是由于在使用基于Jakarta插件的文件上传功能条件下,恶意用户可以通过修改HTTP请求头中的Content-Type值来触发该漏洞。漏洞被曝光的两三天时间内,绿盟科技表示检测的次数累计到达了两万余次,主要的影响范围是政府部门、金融行业、教育机构、通信行业、互联网行业等十多个行业。传统的Struts2漏洞检测方法是基于流量的检测引擎,通过对payload的行为进行分析,根据漏洞的关键字去匹配,如果匹配得上,则被证明是包含攻击行为的报文。本文创造性地提出采用机器学习的方式去作攻击行为检测,并以S2-045漏洞作为研究对象。本文介绍了Ognl语言和Struts2框架的基本原理,并在网络靶场仿真域中模拟一次攻击行为来复现S2-045漏洞的攻击过程,详细分析抓取的报文数据,深入理解了利用该漏洞攻击代码的执行原理。第二章介绍了主流的机器学习算法,包括支持向量机(SVM),随机森林算法以及常见的特征向量的选取方法。第三章根据S2-045漏洞的特性以及考虑采集数据集的不利因素,提出了TV-SVM算法和BP-RF算法。基于“一池五域”模型提出了网络靶场的总体设计方案,主要包含支撑环境模块、攻击域、防守域、仿真域。支撑环境模块主要提供系统的软硬件环境,是整个系统的核心;攻击域和防守域相互配合构成在线检测平台,仿真域提供各种研究环境包括复现环境、靶机等;防守域包含基于机器学习模型的算法分析模块用于检测S2-045漏洞攻击行为;攻击域提供攻击脚本并展示统计数据。在仿真实验平台,采用不同的算法对样本数据进行检测,发现BP-RF算法具有最好的效果,而TV-SVM算法和SVM算法的性能相差不大。基于靶场的在线环境中检测,发现TV-SVM算法具有最好的性能,并且比仿真的效果更好。和传统的基于关键匹配的方式相比,TV-SVM算法在检测率上提高了15.3%,在误报率上降低了11.3%。因此,TV-SVM算法最适合在真实环境中作漏洞攻击行为检测。