vulhub Tomcat靶场攻略

一：CVE-2017-12615

 漏洞描述

当 Tomcat运⾏在Windows操作系统时，且启⽤了HTTP PUT请求⽅法（例如，将 readonly初始化参数由默认值设置为false），攻击者将有可能可通过精⼼构造的攻击请求数据包向服务器上传包含任意代的 JSP ⽂件，JSP⽂件中的恶意代码将能被服务器执⾏。导致服务器上的数据泄露或获取服务器权限。

漏洞原理

当在Tomcat的conf（配置⽬录下）/web.xml配置⽂件中添加readonly设置为false时，将导致该漏洞产 ⽣，（需要允许put请求） , 攻击者可以利⽤PUT⽅法通过精⼼构造的数据包向存在漏洞的服务器⾥⾯上传 jsp⼀句话⽂件，从⽽造成远程命令执⾏，getshell等。

影响范围

Apache Tomcat 7.0.0 - 7.0.79

Apache Tomcat 8.5.19

环境搭建

cd vulhub-master/tomcat/CVE-2017-12615

docker-compose up -d

漏洞复现

http://172.16.1.59:8080

1.首页抓包，修改为 PUT 方式提交 ,将jsp木马写到数据包中

Tomcat允许适⽤put⽅法上传任意⽂件类型，但不允许jsp后缀⽂件上传，因此我们需要配合 windows的

解析漏洞：

PUT /shell.jsp%20

PUT /shell.jsp::$DATA

PUT /shell.jsp/

2.Webshell客户端⼯具进行连接

http://172.16.1.67:8080/shell.jsp

二：tomcat8后台弱⼝令部署war包

漏洞原理

在tomcat8环境下默认进⼊后台的密码为 tomcat/tomcat ，未修改造成未授权即可进⼊后台，或者管理员把密码设置成弱⼝令。

影响版本

全版本(前提是⼈家存在弱⼝令)

环境搭建

8cd vulhub-master/tomcat/tomcat8

docker-compose up -d

漏洞复现

http://47.113.231.0:8080/manager/html

默认密码:tomcat/tomcat

1.制作WAR包,上传

将JSP⽊⻢压缩为ZIP格式，然后修改后缀为war就可以了。

2.文件上传成功后，默认会在网站根目录下生成和war包名称⼀致得目录，然后目录中得木马就是压缩前的文件名，Webshell客户端⼯具进⾏连接

http://47.113.231.0:8080/shell/shell.jsp

三：CVE-2020-1938

漏洞原理

由于Tomcat AJP协议设计上的缺陷，攻击者通过Tomcat AJP Connector 可以读取或包含Tomcat上所有Webapp⽬录下的任意⽂件，例如：

可以读取webapp配置⽂件或源码⽂件。

此外如果⽬标应⽤有⽂件上传的功能情况下，配合为⽂件包含漏洞利⽤GetShell。

影响版本

Apache Tomcat 6

Tomcat 7系列 <7.0.100 Tomcat 8系列 < 8.5.51 Tomcat 9 系列 <9.0.31

环境搭建

cd vulhub-master/tomcat/CVE-2020-1938

docker-compose up -d

漏洞复现

tomcat默认的conf/server.xml中配置了2个Connector，⼀个为 8080 的对外提供的HTTP协议端⼝，另外⼀个就是默认的 8009 AJP协议端⼝，两个端⼝默认均监听在外⽹ip。

POC:

python cve-2020-1938.py -p 8009 -f /WEB-INF/web.xml 47.113.231.0