Tomcat 远程代码执行漏洞分析（CVE-2017-12615）

1. 漏洞描述

• 漏洞简述： 当tomcat启用了HTTP PUT请求方法（例如，将 readonly 初始化参数由默认值设置为 false），攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 文件，JSP文件中的恶意代码将能被服务器执行。导致服务器上的数据泄露或获取服务器权限。
• CVE编号：CVE-2017-12615
• 影响版本：Apache Tomcat 7.0.0-Apache Tomcat 7.0.81

2. 漏洞简介

??2017年9月19日，Apache Tomcat官方确认并修复了两个高危漏洞，漏洞CVE编号:CVE-2017-12615和CVE-2017-12616,该漏洞受影响版本为7.0-7.81之间，官方评级为高危，在一定条件下，攻击者可以利用这两个漏洞，获取用户服务器上 JSP 文件的源代码，或是通过精心构造的攻击请求，向用户服务器上传恶意JSP文件，通过上传的 JSP 文件 ，可在用户服务器上执行任意代码，从而导致数据泄露或获取服务器权限，存在高安全风险。

3. 漏洞分析

注： 漏洞触发条件

? CVE-2017-12615漏洞利用需要将 readonly 初始化参数由默认值设置为 false，经过实际测试，Tomcat 7.x版本内web.xml配置文件内默认配置无readonly参数，需要手工添加，默认配置条件下不受此漏洞影响。

? Apache Tomcat默认开启PUT方法，org.apache.catalina.servlets.DefaultServlet的readonly默认为true，而且默认没有在conf/web.xml里写，需要手工添加并且改为false，才可以测试。

? 主要在conf文件夹的web.xml文件中添加readonly参数并设置值为false：

<init-param>
    <param-name>readonly</param-name>
    <param-value>false</param-value>
</init-param>

3.1 漏洞原理分析

? 设置好web.xml文件中的参数，重启tomcat。创建一个简单的JAVA Web工程，通过该tomcat进行发布，用eclipse在tomcat源码中设置断点进行debug调试。

? 在浏览器中访问工程，通过burpsuite进行抓包，构造恶意payload进行攻击：

? 点击go进行数据包转发，在eclipse中设置断点，可以看到首先进入HttpServlet.java文件的doput方法。

<!-- The mapping for the default servlet -->
<servlet-mapping>
    <servlet-na