运维知识点-Tomcat

tomcat文件包含读取漏洞

 Tomcat
### 远程代码执行（7.0.0-7.0.81）
开启PUT，访问127.0.0.1：8080改PUT，创建x.jsp，写入shell

war后文件部署，登入特定后台，上传包含jsp写的war文件。文件解析


1
2
3
4
5
6
7
8
9

tomcat日志告警

cat catalina.sh
/usr/local/tomcat/conf
 

Tomcat目录结构：

1.bin目录：存放tomcat命令文件，主要包含以.sh结尾的Linux命令和以.bat结尾的Windows命令

2.conf目录：存放tomcat的配置文件，web.xml、server.xml等

3.lib目录：存放tomcat运行需要的一些jar包

4.logs目录：存放tomcat运行时产生的日志文件

5.temp目录：存放tomcat运行时产生的临时文件

6.webapps目录：存放需要运行的应用程序，我们发布项目就是将打包好的war放在该目录下，         
tomcat启动时会自动加载该目录下的应用。

7.work目录：存放编译后的.class文件，如jsp编译后的文件

配置文件介绍：

tomcat配置文件组成：context.xml、web.xml、server.xml、tomcat-users.xml

1.context.xml: Tomcat 公用的环境配置

2.web.xml：应用程序的配置文件，里面配置应用程序的配置信息

3.server.xml：tomcat核心配置文件，里面的元素和tomcat组件相对应

4.tomcat-users.xml:配置访问Tomcat的用户以及角色的配置文件 
<!--
  <role rolename="tomcat"/>
  <role rolename="role1"/>
  <user username="tomcat" password="<must-be-changed>" roles="tomcat"/>
  <user username="both" password="<must-be-changed>" roles="tomcat,role1"/>
  <user username="role1" password="<must-be-changed>" roles="role1"/>
-->


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41