搜索

[15097] 2020-03-06_Tomcat-Ajp漏洞：我是如何一步步写出POC的？

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2020-03-06_Tomcat-Ajp漏洞：我是如何一步步写出POC的？ T o m c a t - A j p 漏 洞 ： 我 是 如 何 一 步 步 写 出 P O C 的 ？ M r C o d i n g   F r e e B u f   2 0 2 0 - 0 3 - 0 6 前 言 前 言 晚 上 ， 朋 友 圈 有 人 发 了 篇 晚 上 ， 朋 友 圈 有 人 发 了 篇 t o m c a t - a j p 漏 洞 的 通 告 和 一 个 简 要 分 析 的 文 章 ， 也 是 当 时 唯 一 的 参 考 文 章 ， 本 着 漏 洞 的 通 告 和 一 个 简 要 分 析 的 文 章 ， 也 是 当 时 唯 一 的 参 考 文 章 ， 本 着 “ 好 好 好 好 学 习 、 天 天 向 上 学 习 、 天 天 向 上 ” 的 态 度 ， 作 为 小 白 ， 就 想 试 着 分 析 下 ， 看 看 能 不 能 写 出 的 态 度 ， 作 为 小 白 ， 就 想 试 着 分 析 下 ， 看 看 能 不 能 写 出 p o c 。 所 以 本 文 主 要 讲 述 一 个 小 白 （ 当 。 所 以 本 文 主 要 讲 述 一 个 小 白 （ 当 然 也 不 能 太 白 ， 然 也 不 能 太 白 ， j a v a 至 少 要 会 吧 ， 网 站 要 知 道 是 啥 吧 ） 如 何 一 步 步 调 试 分 析 ， 编 写 至 少 要 会 吧 ， 网 站 要 知 道 是 啥 吧 ） 如 何 一 步 步 调 试 分 析 ， 编 写 p o c 的 过 程 。 的 过 程 。 一 、 漏 洞 介 绍 一 、 漏 洞 介 绍 简 单 来 说 就 是 a p a c h e   t o m c a t 服 务 器 的 8 0 0 9 端 口 上 的 a j p 协 议 存 在 漏 洞 ， 导 致 未 授 权 用 户 可 以 读 网 站 目 录 下 的 任 意 文 件 。 漏 洞 编 号 ： C N V D - 2 0 2 0 - 1 0 4 8 7 / C V E - 2 0 2 0 - 1 9 3 8 受 影 响 版 本 ： A p a c h e T o m c a t   9 . x   <   9 . 0 . 3 1 A p a c h e T o m c a t   8 . x   <   8 . 5 . 5 1 A p a c h e T o m c a t   7 . x   <   7 . 0 . 1 0 0 A p a c h e T o m c a t   6 . x 二 、 调 试 环 境 搭 建 二 、 调 试 环 境 搭 建 为 了 观 察 数 据 流 向 、 编 写 p o c ， 我 们 需 要 搭 建 调 试 环 境 。 t o m c a t 是 开 源 项 目 ， 所 以 我 首 先 想 的 是 下 载 源 码 ， 在 源 码 基 础 上 调 试 ， 这 里 我 下 载 的 版 本 是 9 . 0 . 2 的 代 码 。 调 试 器 选 择 的 是 I d e a 。 我 先 在 网 上 搜 索 了 下 i d e a   调 试   t o m c a t 源 码 的 文 章 。 最 后 参 考 了 h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 3 0 6 3 1 5 8 7 / a r t i c l e / d e t a i l s / 9 6 5 2 8 3 7 3 这 篇 文 章 ， 将 p o m . x m l 中 t o m c a t 的 版 本 由 9 . 0 . 1 4 修 改 成 9 . 0 . 2 。 ， 不 过 这 里 我 觉 得 不 改 也 不 会 影 响 结 果 。 成 功 运 行 t o m c a t 服 务 。
三 、 三 、 a j p 协 议 学 习 协 议 学 习 到 目 前 为 止 ， 我 还 不 知 道 什 么 是 a j p 协 议 ， 这 个 协 议 是 干 啥 的 ， 但 是 既 然 知 道 此 次 t o m c a t 漏 洞 是 a j p 协 议 造 成 的 。 我 们 肯 定 要 去 了 解 下 这 个 协 议 是 什 么 。 A p a c h e 官 方 有 说 明 文 档 h t t p : / / t o m c a t . a p a c h e . o r g / c o n n e c t o r s - d o c - a r c h i v e / j k 2 / c o m m o n / A J P v 1 3 . h t m l 当 然 这 个 文 档 一 眼 看 上 去 ， 是 不 太 容 易 理 解 的 ， 于 是 百 度 一 番
我 理 解 的 是 ， 我 们 要 访 问 t o m c a t 网 站 有 两 种 方 式 ， 一 种 是 通 过 浏 览 器 直 接 输 入 u r l 地 址 。 另 外 一 种 就 是 通 过 a j p 协 议 访 问 。 A J P 协 议 是 定 向 包 （ 面 向 包 ） 协 议 ， 采 用 二 进 制 形 式 代 替 文 本 形 式 ， 以 提 高 性 能 。 所 以 我 们 需 要 写 个 a j p 的 客 户 端 程 序 用 来 与 t o m c a t 服 务 器 的 8 0 0 9 端 口 进 行 数 据 交 互 。 当 然 我 们 可 以 自 己 从 头 写 一 个 a j p 客 户 端 ， 前 提 是 我 们 需 要 很 详 细 了 解 a j p 协 议 及 其 各 个 字 段 含 义 。 我 并 不 打 算 如 此 ， 毕 竟 自 己 从 头 写 起 来 还 是 很 费 劲 的 。 我 先 到 g i t h u b 上 用 关 键 词 a j p 和 a j p   c l i e n t 搜 了 一 下 ， 看 来 白 的 人 运 气 不 会 太 差 ， 发 现 已 经 有 别 人 的 a j p - c l i e n t 项 目 。
我 把 三 个 a j p - c l i e n t 都 下 了 下 来 ， 经 过 测 试 和 对 比 ( 边 调 试 边 测 试 ) ， 最 后 使 用 了 h t t p s : / / g i t h u b . c o m / e s p e n h w / a j p - c l i e n t 这 个 项 目 ， 最 后 p o c 也 是 在 这 个 项 目 上 完 成 的 。 这 里 我 们 需 要 说 下 a j p 协 议 中 比 较 重 要 的 字 段 。 F o r w a r d   R e q u e s t 包 就 是 我 们 要 发 送 给 t o m c a t   8 0 0 9 端 口 的 内 容 ， 用 来 触 发 漏 洞 的 。 该 字 段 中 比 较 重 要 的 字 段 是 a t t r i b u t e s ， 后 面 调 试 跟 踪 的 时 候 ， 也 会 发 现 的 ， 后 面 再 说 。
四 、 调 试 跟 踪 四 、 调 试 跟 踪 通 过 参 考 我 们 知 道 ， t o m c a t 在 接 收 a j p 请 求 的 时 候 调 用 o r g . a p a c h e . c o y o t e . a j p . A j p P r o c e s s o r 来 处 理 a j p 消 息 ， p r e p a r e R e q u e s t 将 a j p 里 面 的 内 容 取 出 来 设 置 成 r e q u e s t 对 象 的 A t t r i b u t e 属 性 。 我 们 现 在 A j p P r o c e s s o r 中 定 位 到 p r e p a r e R e q u e s t ( ) 函 数 ， 并 在 函 数 开 始 出 下 上 断 点 ， 在 r e q u e s t . s e t A t t r i b u t e ( n ,   v   ) 也 下 上 断 点 。 编 写 测 试 代 码 如 下 （ t e s t _ s e r v l e t 是 我 自 己 编 写 的 s e r v l e t 代 码 ， 放 在 了 w e b a p p s 目 录 下 ） ：
运 行 程 序 ， 程 序 成 功 断 在 了 p r e p a r e R e q u e s t ( ) ， 继 续 向 下 单 步 执 行 ， 期 间 可 以 观 察 一 些 字 段 的 变 化 。 但 是 程 序 并 没 有 进 入 w h i l e 循 环 ， 自 然 也 不 会 执 行 r e q u e s t . s e t A t t r i b u t e ( n ,   v   ) 函 数 。 （ 此 时 我 对 a t t r i b u t e s 还 不 懂 ， 不 知 道 这 个 字 段 的 意 义 ） ， 再 次 跟 踪 时 发 现 w h i l e 循 环 的 判 断 条 件 中 在 获 取 a t t i t u d e s 的 值 时 ， 返 回 值 为 - 1 。 然 后 又 回 头 重 新 看 了 下 前 一 节 所 说 的 F o r w a r d   R e q u e s t 结 构 ， 看 到 了 其 中 的 a t t i t u d e s 字 段 ， 心 想 这 个 字 段 也 许 和 代 码 中 w h i l e 循 环 判 断 的 a t t i t u d e c o d e 有 关 。 然 后 看 了 看 a j p - c l i e n t 中 代 码 对 a t t i t u d e s 字 段 的 处 理 ， 发 现 该 项 目 没 有 处 理 a t t i t u d e s 字 段 。 就 按 照 自 己 的 理 解 在 A j p C l i e n t . j a v a 中 添 加 了 a t t i t u d e s 处 理 相 关 代 码 。 添 加 函 数 s e t H e a d e r s ( ) 此 函 数 并 不 重 要 ， 添 加 函 数 a d d A t t r i b u t e s ( ) 。 在 q u e r y 函 数 中 添 加 ， 处 理 a t r r i b u t e 代 码 p u b l i c   L i s t < P a i r < S t r i n g , S t r i n g > >   h e a d e r s   =   n e w   L i n k e d L i s t < P a i r < S t r i n g , S t r i n g > > ( ) ;   p u b l i c   L i s t < P a i r < S t r i n g , S t r i n g > >   a t t r i b u t e s   =   n e w   L i n k e d L i s t < P a i r < S t r i n g ,   S t r i n g > > ( ) ;
修 改 测 试 代 码 如 下 ( t e s t _ s e r v l e t / x x 是 一 个 不 存 在 的 地 址 或 映 射 ， 只 有 设 置 成 不 存 在 的 地 址 ， 代 码 流 程 才 会 进 入 D e f a u l t S e r v l e t ) 运 行 程 序 ， 程 序 成 功 进 入 w h i l e 循 环 至 于 a d d A t t r i b u t e s 参 数 为 什 么 这 样 写 ， 我 已 开 始 自 然 也 是 不 知 道 的 ， 多 跟 踪 调 试 几 次 就 知 道 了 。 程 序 执 行 了 r e q u e s t . s e t A t t r i b u t e ( n ,   v   ) 函 数 ， 接 下 来 就 是 D e f a u l t S e r v l e t 的 s e r v e R e s o u r c e 函 数 。
跟 踪 到 g e t R e l a t i v e P a t h 函 数 中 ， 这 里 就 会 获 取 我 们 设 置 的 a t t r i b u t e s 值 。 然 后 通 过 r e s o u r c e s . g e t R e s o u r c e ( p a t h ) ; 判 断 设 置 的 路 径 文 件 是 否 存 在 ， 如 果 存 在 则 返 回 文 件 内 容 ， 不 存 在 则 报 错 。 已 经 成 功 读 到 文 件 。
关 于 o r g . a p a c h e . j a s p e r . s e r v l e t . J s p S e r v l e t 类 实 现 文 件 包 含 ， 这 里 就 不 分 析 了 ， 有 兴 趣 的 如 法 炮 制 即 可 。 五 、 编 写 五 、 编 写 p o c 如 何 编 写 p o c 就 不 在 讲 了 ， 上 面 的 测 试 代 码 稍 微 修 改 ， 就 是 p o c 了 。 六 、 总 结 六 、 总 结 总 的 来 说 ， 该 漏 洞 的 利 用 并 不 是 很 难 ， 即 使 你 不 懂 a j p 协 议 ， 有 些 参 考 ， 稍 微 花 点 时 间 ， 还 是 能 够 独 立 写 出 p o c 的 ， 当 然 我 实 际 调 试 的 时 候 也 没 有 文 章 中 那 么 顺 的 ， 要 有 耐 心 ， 多 调 试 几 次 就 好 。 修 复 的 话 ， 如 果 不 需 要 a j p 的 ， 可 以 把 配 置 文 件 中 的 8 0 0 9 配 置 关 闭 ， 或 者 更 新 到 最 新 版 本 。 参 考 ： 参 考 ： h t t p s : / / b l o g . c s d n . n e t / u 0 1 2 2 0 6 6 1 7 / a r t i c l e / d e t a i l s / 1 0 4 4 1 6 6 2 6 / h t t p s : / / b l o g . c s d n . n e t / k a l m a n 2 0 0 8 / a r t i c l e / d e t a i l s / 2 4 4 8 7 7 0 3 h t t p s : / / b l o g . c s d n . n e t / j e i k e r x i a o / a r t i c l e / d e t a i l s / 8 2 7 4 5 5 1 6 h t t p : / / t o m c a t . a p a c h e . o r g / c o n n e c t o r s - d o c - a r c h i v e / j k 2 / c o m m o n / A J P v 1 3 . h t m l * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： M r C o d i n g ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理