搜索

[11887] 2017-10-13_CVE-2017-12617-Tomcat远程代码执行漏洞复现测试

文档创建者：s7ckTeam
浏览次数：57
最后更新：2025-01-18
2017-10-13_CVE-2017-12617-Tomcat远程代码执行漏洞复现测试 C V E - 2 0 1 7 - 1 2 6 1 7 - T o m c a t 远 程 代 码 执 行 漏 洞 复 现 测 试 生 如 夏 花   F r e e B u f   2 0 1 7 - 1 0 - 1 3 * 本 文 原 创 作 者 ： 生 如 夏 花 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 0 x 0 0 前 情 提 要 前 情 提 要 A p a c h e   T o m c a t 团 队 团 队 1 0 月 月 3 日 宣 布 ， 如 果 配 置 了 默 认 日 宣 布 ， 如 果 配 置 了 默 认 s e r v l e t ， 则 在 ， 则 在 9 . 0 . 1 （ （ B e t a ） ， ） ， 8 . 5 . 2 3 , 8 . 0 . 4 7 和 和 7 . 0 . 8 2 之 前 的 所 有 之 前 的 所 有 T o m c a t 版 本 都 版 本 都 包 含 所 有 操 作 系 统 上 的 潜 在 危 险 的 远 程 执 行 代 码 （ 包 含 所 有 操 作 系 统 上 的 潜 在 危 险 的 远 程 执 行 代 码 （ R C E ） 漏 洞 ， ） 漏 洞 ， C V E - 2 0 1 7 - 1 2 6 1 7 ： 远 程 代 码 执 行 漏 洞 。 ： 远 程 代 码 执 行 漏 洞 。 只 需 参 数 r e a d o n l y 设 置 为 f a l s e 或 者 使 用 参 数 r e a d o n l y 设 置 启 用 W e b D A V   s e r v l e t   f a l s e 。 此 配 置 将 允 许 任 何 未 经 身 份 验 证 的 用 户 上 传 文 件 （ 如 W e b D A V 中 所 使 用 的 ） 。 发 现 并 阻 止 上 传 J a v a S e r v e r   P a g e s （ . j s p ） 的 过 滤 器 可 以 避 免 这 个 问 题 。 所 以 只 要 J S P 可 以 上 传 ， 然 后 就 可 以 在 服 务 器 上 执 行 。 现 在 ， 由 于 此 功 能 通 常 不 需 要 ， 所 以 大 多 数 公 开 曝 光 的 系 统 将 不 会 r e a d o n l y 设 置 f a l s e 并 因 此 不 受 影 响 。 在 W i n d o w s C V E - 2 0 1 7 - 1 2 6 1 5 的   T o m c a t   7 中 ， 类 似 的 漏 洞 被 修 复 后 ， 前 几 天 又 发 现 了 这 个 安 全 问 题 （ C V E - 2 0 1 7 - 1 2 6 1 7 ） 。 2 0 1 7 年 9 月 1 9 日 ， A p a c h e   T o m c a t 官 方 确 认 并 修 复 了 两 个 高 危 漏 洞 ， 漏 洞 C V E 编 号 : C V E - 2 0 1 7 - 1 2 6 1 5 和 C V E - 2 0 1 7 - 1 2 6 1 6 , 该 漏 洞 受 影 响 版 本 为 7 . 0 - 7 . 8 0 之 间 ， 在 一 定 条 件 下 ， 攻 击 者 可 以 利 用 这 两 个 漏 洞 ， 获 取 用 户 服 务 器 上   J S P   文 件 的 源 代 码 ， 或 是 通 过 精 心 构 造 的 攻 击 请 求 ， 向 用 户 服 务 器 上 传 恶 意 J S P 文 件 ， 通 过 上 传 的   J S P   文 件   ， 可 在 用 户 服 务 器 上 执 行 任 意 代 码 ， 从 而 导 致 数 据 泄 露 或 获 取 服 务 器 权 限 ， 存 在 高 安 全 风 险 。 C V E - 2 0 1 7 - 1 2 6 1 6 ： 信 息 泄 露 漏 洞 ： 信 息 泄 露 漏 洞 当   T o m c a t   中 使 用 了   V i r t u a l D i r C o n t e x t   时 ， 攻 击 者 将 能 通 过 发 送 精 心 构 造 的 恶 意 请 求 ， 绕 过 设 置 的 相 关 安 全 限 制 ， 或 是 获 取 到 由 V i r t u a l D i r C o n t e x t   提 供 支 持 资 源 的   J S P   源 代 码 。 C V E - 2 0 1 7 - 1 2 6 1 5 ： 远 程 代 码 执 行 漏 洞 ： 远 程 代 码 执 行 漏 洞 当   T o m c a t   运 行 在   W i n d o w s   主 机 上 ， 且 启 用 了   H T T P   P U T   请 求 方 法 （ 例 如 ， 将 r e a d o n l y   初 始 化 参 数 由 默 认 值 设 置 为   f a l s e ） ， 攻 击 者 将 有 可 能 可 通 过 精 心 构 造 的 攻 击 请 求 向 服 务 器 上 传 包 含 任 意 代 码 的   J S P   文 件 。 之 后 ， J S P   文 件 中 的 代 码 将 能 被 服 务 器 执 行 。 通 过 以 上 两 个 漏 洞 可 在 用 户 服 务 器 上 执 行 任 意 代 码 ， 从 而 导 致 数 据 泄 露 或 获 取 服 务 器 权 限 ， 存 在 高 安 全 风 险 。 影 响 版 本 影 响 版 本 : C V E - 2 0 1 7 - 1 2 6 1 7 影 响 范 围 ： A p a c h e   T o m c a t   7 . 0 . 0   -   7 . 0 . 8 1 C V E - 2 0 1 7 - 1 2 6 1 6 影 响 范 围 ： A p a c h e   T o m c a t   7 . 0 . 0   -   7 . 0 . 8 0 C V E - 2 0 1 7 - 1 2 6 1 5 影 响 范 围 ：   A p a c h e   T o m c a t   7 . 0 . 0   -   7 . 0 . 7 9 参 考 链 接 ： 参 考 链 接 ： C V E - 2 0 1 7 - 1 2 6 1 5 ： h t t p s : / / t o m c a t . a p a c h e . o r g / s e c u r i t y - 7 . h t m l h t t p : / / t o m c a t . a p a c h e . o r g / s e c u r i t …   p a c h e _ T o m c a t _ 7 . 0 . 8 1 C V E - 2 0 1 7 - 1 2 6 1 7 h t t p : / / t o m c a t . a p a c h e . o r g / s e c u r i t y - 7 . h t m l h t t p : / / t o m c a t . a p a c h e . o r g / s e c u r i t y - 8 . h t m l h t t p : / / t o m c a t . a p a c h e . o r g / s e c u r i t y - 9 . h t m l
0 x 0 1 漏 洞 利 用 漏 洞 利 用 该 公 开 描 述 的 利 用 是 作 为 发 送 特 殊 特 制 H T T P ， 使 用 P U T 作 为 有 效 载 荷 用 J S P 请 求 到 T o m c a t 服 务 器 。 然 后 ， 当 通 过 H T T P 客 户 端 （ 例 如 W e b 浏 览 器 ） 访 问 新 上 传 的 J S P 时 ， 执 行 代 码 。 首 先 搭 建 t o m c a t 环 境 ， 需 要 预 装 下 j d k ， 安 装 流 程 和 配 置 参 考 ： h t t p : / / w w w . o u y a o x i a z a i . c o m / s o f t / s t g j / 1 3 3 / 4 5 2 5 4 . h t m l 搭 建 成 功 后 ， 访 问   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 安 装 好 后 ， 修 改   D : P r o g r a m F i l e s A p a c h e   S o f t w a r e   F o u n d a t i o n T o m c a t   7 . 0 c o n f w e b . x m l   配 置 文 件 ， 增 加   r e a d o n l y   设 置 为   f a l s e   ， 一 定 要 记 得 重 启 下 t o m c a t 服 务 。 然 后 使 用 b u r p s u i t e 抓 包 把 G E T 方 法 转 为 P U T 方 法 ， 后 面 加 t e s t . j s p 文 件 的 内 容 然 后 发 送 内 容 如 下 ： 内 容 如 下 ：
注 意 ： P U T 路 径 要 用 / 结 束 ， 写 入 成 功 后 ， 会 返 回 2 0 1 或 者 2 0 0 ， 如 果 返 回 4 0 4 说 明 没 有 写 / 。 不 能 直 接 p u t   j s p 或 者 j s p x 文 件 的 ， 在 w i n d o w s 下 可 以 用 t e s t . j s p / 、 t e s t . j s p / . 、 t e s t . j s p : : $ D A T A 来 绕 过 经 过 测 试 ， 最 新 版 a p a c h e - t o m c a t - 7 . 0 . 8 1 可 以 用 t e s t . j s p / 、 t e s t . j s p / . 来 绕 过 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / t e s t . j s p   页 面 会 出 现 t e s t 这 个 字 符 串 写 入 成 功 后 ， 在 服 务 器 的   w e b 目 录 ， 如 下 D : P r o g r a m   F i l e s A p a c h e   S o f t w a r e F o u n d a t i o n T o m c a t   7 . 0 w e b a p p s R O O T 增 加 了 t e s t . j s p 文 件 访 问 上 传 的 文 件   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / t e s t . j s p ? p w d = 0 2 3 & c m d = i p c o n f i g 0 x 0 2 原 理 分 析 原 理 分 析 T o m c a t   的   S e r v l e t   是 在   c o n f / w e b . x m l   配 置 的 ， 通 过 配 置 文 件 可 知 ， 当 后 缀 名 为   . j s p   和   . j s p x   的 时 候 ， 是 通 过   J s p S e r v l e t   处 理 请 求 的 ： 而 其 他 的 静 态 文 件 是 通 过   D e f a u l t S e r v l e t   处 理 的 ： 可 以 得 知 ， “ 1 . j s p   ” （ 末 尾 有 一 个 和 空 格 ） 并 不 能 匹 配 到   J s p S e r v l e t ， 而 是 会 交 由   D e f a u l t S e r v l e t   去 处 理 。 当 处 理   P U T   请 求 时 ： 会 调 用   r e s o u r c e s . b i n d ： d i r C o n t e x t   为   F i l e D i r C o n t e x t ： 调 用   r e b i n d   创 建 文 件 ： 又 由 于   W i n d o w s   不 允 许 “   ” 作 为 文 件 名 结 尾 ， 所 以 会 创 建 一 个   . j s p   文 件 ， 导 致 代 码 执 行 。 0 x 0 3 参 考 资 料 ： 参 考 资 料 ：
h t t p s : / / g i t h u b . c o m / f u p i n g l e e / M y P y t h o n / t r e e / m a s t e r / e x p l o i t / C V E - 2 0 1 7 - 1 2 6 1 5 h t t p s : / / w w w . s e c f r e e . c o m / a r t i c l e - 3 9 9 . h t m l h t t p s : / / w w w . r a p i d 7 . c o m / d b / v u l n e r a b i l i t i e s / a p a c h e - t o m c a t - c v e - 2 0 1 7 - 1 2 6 1 7 h t t p : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 1 7 - 1 2 6 1 7 h t t p s : / / l i s t s . a p a c h e . o r g / t h r e a d . h t m l / 3 f d 3 4 1 a 6 0 4 c 4 e 9 e a b 3 9 e 7 e a a b b b a c 3 9 c 3 0 1 0 1 a 0 2 2 a c c 1 1 d d 0 9 d 7 e b c b @ % 3 C a n n o u n c e . t o m c a t . a p a c h e . o r g % 3 E 0 x 0 4 修 复 建 议 ： 修 复 建 议 ： 将 T o m c a t 更 新 到 该 漏 洞 被 修 复 的 版 本 （ 例 如 ， T o m c a t   8 . 5 . 2 3 ） 只 能 防 止 攻 击 者 上 传 J S P 。 但 是 r e a d o n l y i n i t - p a r a m 不 应 该 将 f a l s e 首 先 设 置 。 如 果 此 参 数 保 留 到 默 认 （ t r u e ） ， 则 攻 击 者 无 法 上 传 文 件 。 另 外 ， 当 然 也 可 以 在 前 端 （ 例 如 W A F ） 上 阻 止 P U T 和 D E L E T E 请 求 。 * 本 文 原 创 作 者 ： 生 如 夏 花 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理