漏洞原理
Struts2-Rest-Plugin是让Struts2能够实现Restful API的一个插件，其根据Content-Type或URI扩展名来判断用户传入的数据包类型，有如下映射表：
| 扩展名 | Content-Type | 解析方法 |
|---|---|---|
.xml |
application/xml |
XStream |
.json |
application/json |
JsonLib 或 Jackson（可选） |
.xhtml |
application/xhtml+xml |
无 |
| 无 | application/x-www-form-urlencoded |
无 |
| 无 | multipart/form-data |
无 |
jsonlib无法引入任意对象，而xstream在默认情况下是可以引入任意对象的（针对1.5.x以前的版本），方法就是直接通过xml的tag name指定需要实例化的类名：
<classname></classname>
//或者
<paramname class="classname"></paramname>
所以，我们可以通过反序列化引入任意类造成远程命令执行漏洞，只需要找到一个在Struts2库中适用的gedget
影响版本：Struts 2.1.2 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12