struct2漏洞除过后缀和ognl表达式。怎么通过报文判断是否为struts攻击有什么特征

一些常见的特征包括：

请求中包含struts相关的关键字，如"%{", "ognl", "action", "method"等。
请求中包含已知的struts漏洞利用的payload，如"redirect:"、"http://"等。
请求中包含未经过滤的用户输入，如参数中包含单引号、双引号等特殊字符。
请求的User-Agent中包含已知的struts漏洞利用的User-Agent，如"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"等。
请求的Referer中包含已知的struts漏洞利用的Referer，如"http://www.baidu.com"等。
请求中包含异常的HTTP请求，如请求方法不正确、请求头信息异常等。

需要注意的是，这些特征并不一定都是struts攻击的必要条件，也可能存在误报的情况。因此，在判断是否为struts攻击时，应该结合其他信息进行综合分析。