Apache Tomcat examples directory vulnerabilities(Apache Tomcat样例目录session操纵漏洞)复现

最新推荐文章于 2024-04-14 12:06:41 发布
最新推荐文章于 2024-04-14 12:06:41 发布
阅读量9.7k 收藏 6
点赞数 1
分类专栏： 漏洞复现 文章标签： tomcat apache java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36119192/article/details/90266372
版权
本文详细介绍了Apache Tomcat example目录中的Session操控漏洞，解释了如何利用SessionExample页面操纵Session，以及模拟了身份验证过程。尽管在实际生产环境中利用此漏洞伪造用户身份的难度较大，但理论上存在可能性。
摘要由CSDN通过智能技术生成

目录

Session操控漏洞

示例：

Session操控漏洞

在Apache tomcat中，有一个默认的example示例目录，该example目录中存着众多的样例，其中/examples/servlets/servlet/SessionExample 允许用户对Session进行操作。由于Session是存储在服务器端的用于验证用户身份的东西。所以，理论上，只要我们可以操控Session，就可以伪造任意用户身份信息！

如图，是Apache tomcat 网站根目录下的文件夹，默认是有一个examples目录的

这是examples目录下的文件

我们访问该SessionExample页面，该页面可以对Session进行操控&

了解本专栏 订阅专栏 解锁全文 超级会员免费看
谢公子
关注
专栏目录
订阅专栏
Tomcat 样例目录暴露（低危）
打代码的小女孩
06-06 1万+
Apache Tomcat样例目录session操纵漏洞 0x00 背景 前段时间扫到的漏洞，研究了下，感觉挺有意思的，发出来和大家分享下，有啥不对的地方还请各位拍砖指正。 Apache Tomcat默认安装包含”/examples”目录，里面存着众多的样例，其中session样例(/examples/servlets/servlet/SessionExample)允许用户对sess...
Apache Tomcat 信息泄露漏洞CVE-2024-21733、CVE-2024-24549和CVE-2024-34750排查处理
最新发布
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
08-14 4259
现场的为中小型项目，未直接使用功能tomcat作为容器使用，仅是jar包里spring-boor框架引入tomcat 内嵌到 web项目中作为web server使用，从而保证项目包可直接运行 webapp项目，无需再部署到额外的tomcat服务了；当不想因为Tomcat就改变SpringBoot的版本时，可以采用排除SpringBoot中的Tomcat包，然后手动指定新的Tomcat的版本来实现升级内置组件的目的，当然还要引入Tomcat相关的包。其中，Coyote作为Tomcat的。
Ubuntu 16.04安装Apache Tomcat的方法
09-15
Apache Tomcat是Java Servlet和Java Server Pages技术的开源软件实现。可以使用OpenJDK tomcat运行你的Java应用。Apache Tomcat安装方法大家都不是很清楚，下面小编给大家介绍下Ubuntu 16.04安装Apache Tomcat的方法
[渗透]Apache Tomcat示例目录漏洞
热门推荐
胖胖的ALEX
02-21 4万+
漏洞等级：中 Apache Tomcat默认安装包含"/examples"目录，该目录包含许多示例servlet和JSP。其中一些示例存在安全风险，不应部署在生产服务器上。 http://localhost:8080/examples/servlets/servlet/SessionExample 示例允许会话操作。因为会话是全局的，所以这个示例会带来很大的安全风险，因为攻击者可用通过操纵其会话来...
Tomcat 样例目录session操控漏洞
小小猪的博客
11-19 8597
Tomcat 样例目录session操控漏洞 漏洞描述： ApacheTomcat默认安装页面中存在examples样例目录。里面存放着Servlets、JSP、WebSocket的一些服务脚本和接口等样例。其中Servletsexamples服务样例下存在一个session的样例。该样例可以允许用户对session来进行操控。因为session是全局通用的，所以也就可以利用该样例下的session来操控管理员的session来进行会话传输操控管理员的账户进行恶意操作。 漏洞分析： 我们直接看核心代
渗透测试成长篇-Apache Tomcat样例目录session操纵漏洞
m0_51186260的博客
08-10 7683
1.前言： 大家好，渗透测试小白成长的一次分享。大佬绕过，在我前几天的一次渗透测试项目中，在用AWVS扫的时候，偶然的发现了这个漏洞，说真的，这个漏洞是我渗透测试第一次遇到，就简单的复现记录一下，对我来说，分享就是成长。 2.背景： 用AWVS扫到一个漏洞 翻译了一下，这叫做Apache Tomcat样例目录session操纵漏洞 Apache Tomcat默认安装包含”/examples”目录，里面存着众多的样例，其中session样例(/examples/servlets/servlet/
tomcat web漏洞整改--Apache Tomcat examples directory vulnerabilities
weixin_30501857的博客
01-23 1155
在利用AWVS等弱扫工具对网站进行漏洞扫描时，经常会出现一些Tomcat漏洞问题，一般在弱扫报告中，都会给出简单的处理办法，但有时这些办法可能不太适合我们，或者在一些正式使用的环境中，不好操作，那么我们就需要有一些方便且可行的操作进行漏洞整改 出现漏洞：Apache Tomcat examples directory vulnerabilities AWVS的建议方案是：禁止访问公...
技术分享 [POC编写]Apache Tomcat样例目录session操纵漏洞(1)
2401_83621634的博客
04-14 722
不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！根据请求与响应信息进行填写，需注意响应测试内容想多添加内容需鼠标左键点击第一个group（根据需求进行增加）或单独编辑PoC文件添加。名称不可填写中文，否则生成会出错，但后期可修改（只支持字母、数字、下划线）。根据内容填写就好，但要注意名称需英文，若需填写其它信息点击[高级配置]。漏洞-PoC管理-自定义PoC。根据规则添加关键信息。
Apache Tomcat 安全漏洞(CVE-2020-13935)复现
fwdwqdwq的博客
08-01 5030
先自我介绍一下，小编13年上师交大毕业，曾经在小公司待过，去过华为OPPO等大厂，18年进入阿里，直到现在。深知大多数初中级java工程师，想要升技能，往往是需要自己摸索成长或是报班学习，但对于培训机构动则近万元的学费，着实压力不小。因此我收集了一份《java开发全套学习资料》送给大家，初衷也很简单，就是希望帮助到想自学又不知道该从何学起的朋友，同时减轻大家的负担。ApacheTomcat中的WebSocket存在安全漏洞，该漏洞源于程序没有正确验证payload的长度。靶机配置Docker。...
01-阿里云标准-Apache Tomcat 安全基线检查
03-25
阿里云标准-Apache Tomcat 安全基线检查 Apache Tomcat 是一个流行的开源Web服务器和Servlet容器，但是在实际应用中，如果不遵循安全基线，可能会导致安全隐患。阿里云标准-Apache Tomcat 安全基线检查旨在帮助用户...
apache Tomcat 漏洞
09-27
apache Tomcat 漏洞
tomcat远程命令攻击的漏洞与利用
05-05
内容原创。但是主要还是根据网上已有的思路去做的实验。这个文件比较详细，能够解决一般网上其他教程出现的问题。仅供学习。
Apache Tomcat 漏洞利用
Soul Blog
11-29 3035
Apache Tomcat 漏洞利用 参考链接1 参考链接2 通过对apache tomcat的枚举和利用，我们可以从中找出漏洞，然后得到shell 枚举 在 Tomcat6 之前的某些版本中，我们可以使用msf枚举用户： msf> use auxiliary/scanner/http/tomcat_enum 常见的得到的用户名与密码是： admin:admin tomcat:tomcat admin: admin:s3cr3t tomcat:s3cr3t admi
tomcat example 项目存在的漏洞
建伟博客
06-24 2414
相信很多朋友都遇到安装Windows后，再在BIOS中去开启SATA硬盘的AHCI功能的话，就会出现无法启动的情况。我最近也在安装Windows7后去开启AHCI时遇到这样的问题，只有改回IDE模式后，系统才恢复正常。经过试验后发现如果是在IDE模式下安装了Windows系统，要在BIOS中将硬盘更改为AHCI模式的话，需要重新安装系统才行。那么有没有不用重装系统，即可以开启硬盘AHCI模式的办法
技术分享 | [POC编写]Apache Tomcat样例目录session操纵漏洞
m0_46699477的博客
01-18 1869
前言： Apache Tomcat默认安装包含examples目录，里面存着众多的样例，其中session样例(目标/examples/servlets/servlet/SessionExample)允许用户对session进行操纵，因为session是全局通用的，所以用户可以通过操纵session获取管理员权限。 0x001 准备 1.1 编写准备 Goby 漏洞相关资料 1.2 编写区域 漏洞-PoC管理-自定义PoC 自定义PoC截图 1.3 注意事项 名称不可填写中文，否则生成会出错，但后.
渗透测试——漏洞扫描工具
wuli1024的博客
11-20 1002
然后还要将all这个压缩包里的plugin_feed_info.inc提取出来，命令行是 tar -zxvf all-2.0.tar.gz plugin_feed_info.inc，然鹅，我提取不出来。将下载好的插件移动到Nessus目录下，然后输入sudo /opt/nessus/sbin/nessuscli update all-2.0.tar.gz。用户名和密码随便写写就好，随后将会更新补丁，OK，这样Nessus可以使用了。将会获得一串数字，然后去激活码的这个网站，输入自己的邮箱获取激活码。
tomcat包自带examples漏洞
Bejpse的博客
04-27 4690
Tomcat是一款轻量级应用服务，且使用方便，解压后即可使用。在解压后的文件目录里有tomcat自带的webapp/docs和webapp/example文件夹，docs是tomcat的说明文档，example是tomcat自带的示例，可以通过http://xxxxx/docs和http://xxxxx/examples进行访问，本意是用来说明和演示tomcat的功能的。 但是最近发现有的版本的tomcat部署完成以后，这两个链接仍然可用，不太清楚是版本的原因还是部署的原因。docs是文档，所以基本不存在风
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

谢公子

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值