Tomcat服务存在文件包含漏洞的解决方案

漏洞描述

近日我办监测发现，XXX单位Tomcat服务存在文件包含漏洞。经测试，漏洞情况属实。综合利用漏洞，攻击者可读取服务器任意文件，对网站构成信息泄露和运行安全风险。

漏洞URL为：XXXX，利用相关工具可获取服务器webapp下的任意文件，造成文件信息泄露。

 

整改：

攻击者利用的是 AJP:8009端口进行攻击，所以最简单粗暴的解决办法就是将 Tomcat 的 AJP 禁用掉，

tomcat/conf/server.xml 中找到：

注释掉即可：