【漏洞复现】Tomcat文件包含漏洞的搭建与复现：CVE-2020-1938

点击上方“公众号” 可以订阅哦！

Hello，各位小伙伴大家好~

今天打开手机就被Tomcat的这个漏洞刷屏了

估计昨晚很多大佬都在通宵刷SRC吧...

让我们一起来复现一下这个漏洞吧~

Part.1

漏洞说明

漏洞描述

2月14日，Apache Tomcat官方发布了一个安全更新版本，用于修复Tomcat中存在的一个利用AJP协议的漏洞。利用该漏洞，攻击者可以通过发送恶意的AJP请求，在未授权的情况下读取或者包含webapp目录下的任意文件。

2月20日，国家信息安全漏洞共享平台（CNVD）发布安全公告，将该漏洞综合评级为高危，当前网上已可以找到该漏洞的利用POC。

涉及版本

Apache Tomcat6

Apache Tomcat7 < 7.0.100

Apache Tomcat8 < 8.5.51

Apache Tomcat9 < 9.0.31

Part.2

环境搭建

JDK安装

以Tomcat 8.0版本为例，需要安装JDK1.7及以上版本。公众号回复1938可进行下载。

Tomcat 8.0.39

Tomcat8.0.39可在公众号回复1938可进行下载。也可访问官网自行下载：

http://tomcat.apache.org/download-80.cgi

选择对应的版本：

点击后进入bin命令下载我们需要的版本：

下载完成后解压即可：

环境变量

配置环境变量：

新建系统变量CATALINA_HOME，变量值为tomcat路径：

配置环境系统变量Path，添加变量值：%CATALINA_HOME%\lib;

打开bin目录下的startup即可启动：

启动后访问目标8080端口：

搭建成功~

Part.3

漏洞复现

漏洞复现

本次漏洞利用的是AJP协议，该协议工作在8009端口，查看本机已开启：

GitHub上已经有很多可利用的POC，也可在公众号回复1938可进行下载。

现在利用该漏洞去读取WEB-INF/web.xml文件：

该POC读取目录为ROOT，其他不行：

Part.4

修复建议

漏洞修复

目前，Apache官方已发布9.0.31、8.5.51及7.0.100版本对此漏洞进行修复，CNVD建议用户尽快升级新版本或采取临时缓解措施：

1. 如未使用Tomcat AJP协议：

如未使用Tomcat AJP 协议，可以直接将 Tomcat 升级到9.0.31、8.5.51或 7.0.100 版本进行漏洞修复。

如无法立即进行版本更新、或者是更老版本的用户，建议直接关闭AJPConnector，或将其监听地址改为仅监听本机localhost。

具体操作：

（1）编辑 <CATALINA_BASE>/conf/server.xml，找到如下行（<CATALINA_BASE> 为 Tomcat 的工作目录）：

<Connectorport="8009"protocol="AJP/1.3" redirectPort="8443"/>

（2）将此行注释掉（也可删掉该行）：

<!--<Connectorport="8009"protocol="AJP/1.3"redirectPort="8443" />-->

（3）保存后需重新启动，规则方可生效。

2、如果使用了Tomcat AJP协议

建议将Tomcat立即升级到9.0.31、8.5.51或7.0.100版本进行修复，同时为AJP Connector配置secret来设置AJP协议的认证凭证。

例如（注意必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值）：

<Connectorport="8009"protocol="AJP/1.3"redirectPort="8443"address="YOUR_TOMCAT_IP_ADDRESS"secret="YOUR_TOMCAT_AJP_SECRET"/>

如无法立即进行版本更新、或者是更老版本的用户，建议为AJPConnector配置requiredSecret来设置AJP协议认证凭证。例如（注意必须将YOUR_TOMCAT_AJP_SECRET更改为一个安全性高、无法被轻易猜解的值）：

<Connectorport="8009"protocol="AJP/1.3"redirectPort="8443"address="YOUR_TOMCAT_IP_ADDRESS"requiredSecret="YOUR_TOMCAT_AJP_SECRET"/>

‍

Part.5

结语

好啦，这就是今天的全部内容了。

欢迎到公众号:一名白帽的成长史提问&留言~