Apache-Tomcat-Ajp漏洞测试与修复

最新推荐文章于 2025-10-25 01:34:21 发布

原创

最新推荐文章于 2025-10-25 01:34:21 发布 · 4.1k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#tomcat #安全漏洞

本文详细介绍了Apache Tomcat的AJP文件包含漏洞，受影响的版本及如何进行漏洞测试。通过 AjPy 工具验证了漏洞的存在，并提供了临时禁用AJP端口、设置secretRequired和secret属性限制认证以及升级到最新版本的修复方案。

说明

Apache Tomcat会开启AJP连接器,方便与其他Web服务器通过AJP协议进行交互。由于Tomcat本身也内含了HTTP服务器，因此也可以视作单独的Web服务器。此漏洞为文件包含漏洞，攻击者可利用该漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件，如：webapp 配置文件、源代码等。

受影响的版本

    Apache Tomcat = 6

    7 <= Apache Tomcat <7.0.100

    8 <= Apache Tomcat <8.5.51

    9 <= Apache Tomcat <9.0.31

演示测试

验证工具脚本：

下载AjPy验证工具，需安装python2环境，文件下载：https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi

使用python3需要修改CNVD-2020-10487-Tomcat-Ajp-lfi.py文件以下代码：

self.socket.makefile("rb", bufsize=0) -->change self.socket.makefile("rb", buffering=0)
print("".join([d.data for d in data])) -->print("".join([d.data.decode() for d in data]))

查看Apache Tomcat版本 <8.5.51
1、通过tomcat.py脚本查看linux tom