【CVE-2020-13935】Tomcat拒绝服务漏洞复现

一、靶机复现环境：
用docker安装好的tomcat环境，本次选取的是漏洞验证环境vulhub，github地址是https://github.com/vulhub/vulhub的tomcat/CVE-2020-1938这个漏洞版本，这个版本也存在cve-2020-13935的漏洞

/tools/vulhub/tomcat/CVE-2020-1938  docker-compose up -d   #启动漏洞靶机

测试启动是否成功 docker ps ，通过浏览器访问

二、测试POC
https://github.com/RedTeamPentesting/CVE-2020-13935
下载后用go编译后使用。
run：

./tcdos    ws://127.0.0.1:8080/examples/websocket/echoStreamAnnotation

开始测试docker的cpu占用

启动测试后：
cpu瞬间被打满，600%，电脑风扇瞬间开始发出“狮吼声”,Dos 成功

三、漏洞报告&影响&解决方案参考：
https://weixin.shuziguanxing.com/selectDetailsTempateId/638