Apache Tomcat 5.5 Servlet/JSP 容器----中文简介

Apache Tomcat 5.5 Servlet/JSP 容器

文件目录

Printer Friendly Version
print-friendly
version
Introduction

这里是关于Apache Jakarta Tomcat/JSP容器的文件一个顶层进入点。 Tomcat 5.5版起用了Java Community Process 的Servlet 2.4 和 Java Server Page (JSP) 2.0 版的规范,同时又添加了许多特性。 这使它成为一个十分有用的开发和部署,网络应用和web服务的平台

你可从(左边的)目录中选择一个链接来查询详细的内容。下面的每个链接都有更为详细的描述。

Apache Tomcat User Guide

下面的文件帮助你下载、安装Apache Tomcat 5,以及使用Apache Tomcat 的许多特性。

  1. 简介- 关于Apache Tomcat的 简短,高层位概貌。
  2. 安装 - 怎样在一系列不同的平台上 安装和运行Apache Tomcat 。
  3. 简单网络应用- 简单 介绍Servlet 2.3 规则里制定的关于网络应用的概念。覆盖面包括基本的网络应用 的资源树,网络应用存档结构,以及网络应用部署描述符的简介 (/WEB-INF/web.xml)。
  4. 部署者- 操作Apache Tomcat 部署者来部署,预编译, 和验证网络应用程序。
  5. 管理者- 在 Apache Tomcat 运行时,由管理员(manager)程序来部署, 取消部署(undeploy), 再部署 (redeploy)各类应用程序。
  6. 和访问控制: 描述 怎样配置(用户,密码和相关功能的数据库)来使用关于容器管理安全 性的网络应用程序。
  7. 安全管理: 配置和使用Java安全管理器来支持对网络程序行为的细致控制。
  8. JNDI 资源:在每个 网络程序的JNDI命名上下文里的配置标准以及客户资源。
  9. JDBC数据源:用数据库的连接池来配置JNDI数据源。有许多 流行的数据库实例。
  10. (类加载)- 关于Apache Tomcat 5里类的加载信息,包括在什么地方放置类程序,使他们有效。
  11. JSPs - 关于Jasper配置和 JSP编译器的使用信息。
  12. SSL - 安装和配置SSL支持,这样 Apache Tomcat 就可以应用https协定来服务需求。
  13. SSI - Apache Tomcat里服务器端 的应用。
  14. CGI - 在Apache Tomcat里如何 使用公用网关接口CGI。
  15. Proxy Support - 配置 Apache Tomcat 5通过代理器(或者作为代理器的web服务器)提供服务。
  16. MBean描述符 - 配置客户部件的 MBean描述符文件。
  17. Default Servlet - 配置 缺省servlet以及自定义用户目录列表。
  18. Apache Tomcat 集群- 在Tomcat 环境里使session复制成为可能。
  19. 负载均衡器: 配置,使用, 扩充加载均衡器的应用程序。
  20. 链接器 - Apache Tomcat支持的 链接访问方式,和本地服务器搭配。
  21. 监视和管理 - 启动JMX远程支持,并且使用工具来监视和管理Apache Tomcat。
  22. 日志 - 配置Apache Tomcat的日志
Reference

下面的文献是针对负责安装,配置和操作Apache Tomcat 5服务器的系统管理员的。

  • 版本信息 - 了解Apache Tomcat的发行版本。
  • Apache Tomcat 服务器配置参考 - 记录了可能被放置在Apache Tomcat 5 conf/server.xml 文件里面所有 可被使用的元素和属性的参考手册。
  • JK 文档 -JK 本地web服务器的全面文档和指南,用于Apache Tomcat同其他服务器,例如: Apache HTTPd, IIS 等等的联合使用。
  • Servlet API Javadocs - The Servlet 2.4 API Javadocs.
  • JSP API Javadocs - The JSP 2.0 API Javadocs.
Apache Tomcat Developers

下面的文献是提供给那些希望参与开发Apache Tomcat 项目的Java程序员的。

  • 从源文件构建 - 列举了下载 Apache Tomcat 5 源程序(包括其他关联程序包)的下载,和如何从这些 源码中构建一个二进制版本。
  • 变更日志 - 详细列出Apache Tomcat 不同版本的变化情况。
  • 进程 - Apache Tomcat 的开发进程。
  • 开发者 - Apache Tomcat 的开发者们。.
  • 功能说明书 - Apache Tomcat 5所使用的 Catalina servlet容器的必需的功能说明。
  • Catalina Javadocs - Catalina servlet容器和其附属部件的Javadoc API文档。
  • Jasper Javadocs - Apache Tomcat 5所使用的 Jasper JSP 容器的Javadoc API 文档。
  • Apache Tomcat 体系结构 - Apache Tomcat 服务器的体系结构文档。

 

REFERENCE: http://tomcat.jaxwiki.org/

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
9 月 19 日,腾讯云安全中心监测到  Apache Tomcat 修复了2个严重级别的漏洞, 分别为: 信息泄露漏洞(CVE-2017-12616)、远程代码执行漏洞(CVE-2017-12615),在某些场景下,攻击者将分别能通过这两个漏洞,获取用户服务器上 JSP 文件的源代码,或是通过精心构造的攻击请求,向用户服务器上传恶意 JSP 文件,通过上传的 JSP 文件 ,可在用户服务器上执行任意代码。      云鼎实验室通过对于漏洞描述,搭建漏洞环境,并对其进行复现。此漏洞为高危漏洞,即使是非默认配置,但是一旦存在漏洞,那么攻击者可以成功上传 webshell,并控制服务器。 复现 根据描述,在 Windows 服务器下,将 readonly 参数设置为 false 时,即可通过 PUT 方式创建一个 JSP 文件,并可以执行任意代码。    通过阅读 conf/web.xml 文件,可以发现:   默认 readonly 为 true,当 readonly 设置为 false 时,可以通过 PUT / DELETE 进行文件操控。   配置 readonly 为 false: 启动 Tomcat,利用 PUT 请求创建文件: 提示 404。通过描述中的 Windows 受影响,可以结合 Windows 的特性。其一是 NTFS 文件流,其二是文件名的相关限制(如 Windows 中文件名不能以空格结尾)来绕过限制:  访问发现可以正常输出:  分析 TomcatServlet 是在 conf/web.xml 配置的,通过配置文件可知,当后缀名为 .jsp 和 .jspx 的时候,是通过JspServlet处理请求的:   可以得知,“1.jsp ”(末尾有一个和空格)并不能匹配到 JspServlet,而是会交由DefaultServlet去处理。当处理 PUT 请求时: 会调用resources.rebind: dirContext 为FileDirContext: 调用 rebind创建文件: 又由于 Windows 不允许“ ”作为文件名结尾,所以会创建一个 .jsp 文件,导致代码执行。 Bypass 分析 然而,经过黑盒测试,当 PUT 地址为/1.jsp/时,仍然会创建 JSP,会影响 Linux 和 Windows 服务器,并且 Bypass 了之前的补丁,分析如下。  在进入 bind 函数时,会声明一个 File 变量: 进入 File 后,会对 name 进行 normalize 最后得到的 path 就是没有最后 / 的 path 了: 影响  由于存在去掉最后的 / 的特性,那么这个漏洞自然影响 Linux 以及 Windows 版本。而且经过测试,这个漏洞影响全部的 Tomcat 版本,从 5.x 到 9.x 无不中枪。目前来说,最好的解决方式是将 conf/web.xml 中对于 DefaultServlet 的 readonly 设置为 true,才能防止漏洞。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值