搜索

[18619] 2021-08-18_干货｜最全的Tomcat漏洞复现

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-08-18_干货｜最全的Tomcat漏洞复现 干 货 ｜ 最 全 的 T o m c a t 漏 洞 复 现 原 创   m a t h w i z a r d   H A C K 学 习 呀   2 0 2 1 - 0 8 - 1 8 收 录 于 话 题   # t o m c a t   , 1 个 简 介 简 介 T o m c a t 是 A p a c h e   软 件 基 金 会 （ A p a c h e   S o f t w a r e   F o u n d a t i o n ） 的 J a k a r t a   项 目 中 的 一 个 核 心 项 目 ， 由 A p a c h e 、 S u n   和 其 他 一 些 公 司 及 个 人 共 同 开 发 而 成 。 由 于 有 了 S u n   的 参 与 和 支 持 ， 最 新 的 S e r v l e t   和 J S P   规 范 总 是 能 在 T o m c a t   中 得 到 体 现 ， T o m c a t   5 支 持 最 新 的 S e r v l e t   2 . 4   和 J S P   2 . 0   规 范 。 因 为 T o m c a t   技 术 先 进 、 性 能 稳 定 ， 而 且 免 费 ， 因 而 深 受 J a v a   爱 好 者 的 喜 爱 并 得 到 了 部 分 软 件 开 发 商 的 认 可 ， 成 为 目 前 比 较 流 行 的 W e b   应 用 服 务 器 。 T o m c a t   服 务 器 是 一 个 免 费 的 开 放 源 代 码 的 W e b   应 用 服 务 器 ， 属 于 轻 量 级 应 用 服 务 器 ， 在 中 小 型 系 统 和 并 发 访 问 用 户 不 是 很 多 的 场 合 下 被 普 遍 使 用 ， 是 开 发 和 调 试 J S P   程 序 的 首 选 。 对 于 一 个 初 学 者 来 说 ， 可 以 这 样 认 为 ， 当 在 一 台 机 器 上 配 置 好 A p a c h e   服 务 器 ， 可 利 用 它 响 应 H T M L （ 标 准 通 用 标 记 语 言 下 的 一 个 应 用 ） 页 面 的 访 问 请 求 。 实 际 上 T o m c a t 是 A p a c h e   服 务 器 的 扩 展 ， 但 运 行 时 它 是 独 立 运 行 的 ， 所 以 当 你 运 行 t o m c a t   时 ， 它 实 际 上 作 为 一 个 与 A p a c h e   独 立 的 进 程 单 独 运 行 的 。 诀 窍 是 ， 当 配 置 正 确 时 ， A p a c h e   为 H T M L 页 面 服 务 ， 而 T o m c a t   实 际 上 运 行 J S P   页 面 和 S e r v l e t 。 另 外 ， T o m c a t 和 I I S 等 W e b 服 务 器 一 样 ， 具 有 处 理 H T M L 页 面 的 功 能 ， 另 外 它 还 是 一 个 S e r v l e t 和 J S P 容 器 ， 独 立 的 S e r v l e t 容 器 是 T o m c a t 的 默 认 模 式 。 不 过 ， T o m c a t 处 理 静 态 H T M L 的 能 力 不 如 A p a c h e 服 务 器 。 目 前 T o m c a t 最 新 版 本 为 1 0 . 0 . 5 。 C V E - 2 0 1 7 - 1 2 6 1 5 C V E - 2 0 1 7 - 1 2 6 1 5 对 应 的 漏 洞 为 任 意 文 件 写 入 ， 主 要 影 响 的 是 T o m c a t 的 7 . 0 . 0 - 7 . 0 . 8 1 这 几 个 版 本 漏 洞 原 理 漏 洞 原 理 由 于 配 置 不 当 （ 非 默 认 配 置 ） ， 将 配 置 文 件 中 的 设 置 为 了   f a l s e ， 导 致 可 以 使 用 P U T 方 法 上 传 任 意 文 件 ， 但 限 制 了 j s p 后 缀 的 上 传 根 据 描 述 ， 在   W i n d o w s   服 务 器 下 ， 将   r e a d o n l y   参 数 设 置 为   f a l s e   时 ， 即 可 通 过   P U T   方 式 创 建 一 个   J S P   文 件 ， 并 可 以 执 行 任 意 代 码 通 过 阅 读   c o n f / w e b . x m l   文 件 ， 可 以 发 现 ， 默 认   r e a d o n l y   为   t r u e ， 当   r e a d o n l y   设 置 为   f a l s e   时 ， 可 以 通 过   P U T   /   D E L E T E   进 行 文 件 操 控 漏 洞 复 现 漏 洞 复 现 这 里 使 用 v u l u h u b 的 d o c k e r 进 行 漏 洞 复 现 ， 这 里 就 不 详 细 介 绍 环 境 搭 建 了 首 先 进 入 C V E - 2 0 1 7 - 1 2 6 1 5 的 d o c k e r 环 境 c o n f / w e b . x m l r e a d o n l y
这 里 首 先 进 入 d o c k e r 里 查 看 一 下 的 代 码 ， 可 以 看 到 这 里 设 置 为 ， 所 以 存 在 漏 洞 访 问 下 8 0 8 0 端 口 ， 对 应 的 是 s u d o   d o c k e r - c o m p o s e   u p   - d d o c k e r   p s         / / 查 看 d o c k e r 环 境 是 否 启 动 成 功 w e b . x m l r e a d o n l y f a l s e s u d o   d o c k e r   e x e c   - t i   e c   b a s h         / / 进 入 d o c k e r 容 器 c a t   c o n f / w e b . x m l   |   g r e p   r e a d o n l y T o m c a t   8 . 5 . 1 9
在 8 0 8 0 端 口 进 行 抓 包 ， 这 里 发 现 是 一 个 方 法 这 里 首 先 测 试 一 下 ， 改 为 方 法 写 入 一 个 ， 这 里 看 到 返 回 2 0 1 ， 应 该 已 经 上 传 成 功 了 G E T P U T t e s t . t x t P U T   / t e s t . t x t   H T T P / 1 . 1 t e s t p o c
这 里 进 入 d o c k e r 查 看 一 下 已 经 写 入 成 功 了 之 前 说 过 ， 使 用 P U T 方 法 上 传 任 意 文 件 ， 但 限 制 了 j s p 后 缀 的 上 传 ， 这 里 首 先 使 用 P U T 方 法 直 接 上 传 一 个 冰 蝎 的 j s p 上 去 ， 发 现 返 回 的 是 4 0 4 ， 应 该 是 被 拦 截 了 这 里 就 需 要 进 行 绕 过 ， 这 里 绕 过 有 三 种 方 法 c d   / u s r / l o c a l / t o m c a t / w e b a p p s / R O O T l s
首 先 使 用 绕 过 。 我 们 知 道 对 应 的 是 空 格 ， 在 w i n d o w s 中 若 文 件 这 里 在 j s p 后 面 添 加 即 可 达 到 自 动 抹 去 空 格 的 效 果 。 这 里 看 到 返 回 2 0 1 已 经 上 传 成 功 了 进 入 d o c k e r 查 看 一 下 ， 确 认 是 上 传 上 去 了 第 二 种 方 法 为 在 j s p 后 缀 后 面 使 用 ， 因 为 在 文 件 名 中 是 非 法 的 ， 在 w i n d o w s 和 l i n u x 中 都 会 自 动 去 除 。 根 据 这 个 特 性 ， 上 传 ， 看 到 返 回 2 0 1 1 . W i n d o w s 下 不 允 许 文 件 以 空 格 结 尾 以 P U T   / a 0 0 1 . j s p % 2 0   H T T P / 1 . 1 上 传 到   W i n d o w s 会 被 自 动 去 掉 末 尾 空 格 2 . W i n d o w s   N T F S 流 P u t / a 0 0 1 . j s p : : $ D A T A   H T T P / 1 . 1 3 .   / 在 文 件 名 中 是 非 法 的 ， 也 会 被 去 除 （ L i n u x / W i n d o w s ） P u t / a 0 0 1 . j s p / h t t p : / 1 . 1 % 2 0 % 2 0 % 2 0 / / / i c e 1 . j s p /
进 入 d o c k e r 查 看 发 现 已 经 上 传 成 功 第 三 种 方 法 就 是 使 用 W i n d o w s   N T F S 流 ， 在 j s p 后 面 添 加 ， 看 到 返 回 2 0 1 ， 上 传 成 功 : : $ D A T A
进 入 d o c k e r 验 证 一 下 这 里 随 便 连 接 一 个 j s p 即 可 拿 到 w e b s h e l l
C V E - 2 0 2 0 - 1 9 3 8 C V E - 2 0 2 0 - 1 9 3 8 为 T o m c a t   A J P 文 件 包 含 漏 洞 。 由 长 亭 科 技 安 全 研 究 员 发 现 的 存 在 于   T o m c a t 中 的 安 全 漏 洞 ， 由 于   T o m c a t   A J P 协 议 设 计 上 存 在 缺 陷 ， 攻 击 者 通 过   T o m c a t   A J P   C o n n e c t o r 可 以 读 取 或 包 含   T o m c a t 上 所 有   w e b a p p 目 录 下 的 任 意 文 件 ， 例 如 可 以 读 取   w e b a p p 配 置 文 件 或 源 码 。 此 外 在 目 标 应 用 有 文 件 上 传 功 能 的 情 况 下 ， 配 合 文 件 包 含 的 利 用 还 可 以 达 到 远 程 代 码 执 行 的 危 害 。 漏 洞 原 理 漏 洞 原 理 T o m c a t   配 置 了 两 个 C o n n e c t o ， 它 们 分 别 是   H T T P   和   A J P   ： H T T P 默 认 端 口 为 8 0 8 0 ， 处 理 h t t p 请 求 ， 而 A J P 默 认 端 口 8 0 0 9 ， 用 于 处 理   A J P   协 议 的 请 求 ， 而 A J P 比 h t t p 更 加 优 化 ， 多 用 于 反 向 、 集 群 等 ， 漏 洞 由 于 T o m c a t   A J P 协 议 存 在 缺 陷 而 导 致 ， 攻 击 者 利 用 该 漏 洞 可 通 过 构 造 特 定 参 数 ， 读 取 服 务 器 w e b a p p 下 的 任 意 文 件 以 及 可 以 包 含 任 意 文 件 ， 如 果 有 某 上 传 点 ， 上 传 图 片 马 等 等 ， 即 可 以 获 取 s h e l l t o m c a t 默 认 的 c o n f / s e r v e r . x m l 中 配 置 了 2 个 C o n n e c t o r ， 一 个 为 8 0 8 0 的 对 外 提 供 的 H T T P 协 议 端 口 ， 另 外 一 个 就 是 默 认 的 8 0 0 9   A J P 协 议 端 口 ， 两 个 端 口 默 认 均 监 听 在 外 网 i p 。 t o m c a t 在 接 收 a j p 请 求 的 时 候 调 用 o r g . a p a c h e . c o y o t e . a j p . A j p P r o c e s s o r 来 处 理 a j p 消 息 ， p r e p a r e R e q u e s t 将 a j p 里 面 的 内 容 取 出 来 设 置 成 r e q u e s t 对 象 的 A t t r i b u t e 属 性
因 此 可 以 通 过 此 种 特 性 从 而 可 以 控 制 r e q u e s t 对 象 的 下 面 三 个 A t t r i b u t e 属 性 然 后 封 装 成 对 应 的 r e q u e s t 之 后 , 继 续 走 s e r v l e t 的 映 射 流 程 如 下 漏 洞 复 现 漏 洞 复 现 j a v a x . s e r v l e t . i n c l u d e . r e q u e s t _ u r i j a v a x . s e r v l e t . i n c l u d e . p a t h _ i n f o j a v a x . s e r v l e t . i n c l u d e . s e r v l e t _ p a t h
启 动 C V E - 2 0 2 0 - 1 9 3 8 的 d o c k e r 环 境 首 先 使 用 p o c 进 行 漏 洞 检 测 ， 若 存 在 漏 洞 则 可 以 查 看 w e b a p p s 目 录 下 的 所 有 文 件 这 里 查 看 8 0 0 9 端 口 下 的 文 件 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / Y D H C U I / C N V D - 2 0 2 0 - 1 0 4 8 7 - T o m c a t - A j p - l f i c d   C N V D - 2 0 2 0 - 1 0 4 8 7 - T o m c a t - A j p - l f i p y t h o n   C N V D - 2 0 2 0 - 1 0 4 8 7 - T o m c a t - A j p - l f i . p y         # p y 2 环 境 w e b . x m l p y t h o n   C N V D - 2 0 2 0 - 1 0 4 8 7 - T o m c a t - A j p - l f i . p y   1 9 2 . 1 6 8 . 1 . 8   - p   8 0 0 9   - f   / W E B - I N F / w e b . x m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理