HTTP1.1新增了五种请求方法：OPTIONS、PUT、DELETE、TRACE 、CONNECT
直接使用 PUT 发起请求就可以上传任意文件，比如向 /teamssix.jsp/ 发起请求
本文作者：腾讯云安全团队，转载请注明来自FreeBuf.COM。本文分析了Tomcat 远程代码执行漏洞（CVE-2017-12615）的详情和 bypass 方式。主要影响包括：1）默认配置下，攻击者可获取服务器权限；2）配置错误，攻击者可获取服务器权限。腾讯云安全团队提供了一份修复方案，并建议用户升级到最新版本。
在tomcat启动文件bin\catalina.sh 中更改$_RUNJAVA启动参数，追加-Djava.awt.headless=true \ 这一句
java.lang.NullPointerException org.apache.jasper.servlet.JspServletWrapper.handleJspException(JspServletWrapper.java:542) org.apache.jasper.servlet.JspServletWrapper.service(JspServletWrapper.java:370) org.apache.jasper.servlet.JspServlet.serviceJspFile(JspServlet.java:321) org.apache.jasper.servlet.JspServlet.service(JspServlet.java:267) javax.servlet.http.HttpServlet.service(HttpServlet.java:723) org.springframework.web.filter.HiddenHttpMethodFilter.doFilterInternal(HiddenHttpMethodFilter.java:77) org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:108)
漏洞产生原因为web.xml里将readonly设置为了false(默认为true)，导致了可以通过PUT写入任意文件
0x00前情提要 Apache Tomcat团队10月3日宣布，如果配置了默认servlet，则在9.0.1（Beta），8.5.23,8.0.47和7.0.82之前的所有Tomcat版本都包含所有操作系统上的潜在危险的远程执行代码（RCE）漏洞，CVE-2017-12617：远程代码执行漏洞。 只需参数readonly设置为false或者使用参数readonly设置启用WebDAV servlet false。此配置将允许任何未经身份验证的用户上传文件（如WebDAV中所使用的）。发现并阻止上传JavaS
jsp介绍： jsp全称Java Server Page，它是Servlet的扩展，其作用就是简化网站创建过程和维护动态网站。 jsp运作原理： 浏览器访问index.jsp的URL为http://localhost:8080/工程名称/index.jsp，tomcat服务器接收到客户端的访问请求时，服务器首先去查找到myweb工程，找到后到web.xml文件中查找JSPServlet的映射，再运行JSPServlet，然后进入到jsp对象池，询问有没有对象，如果有对象就抓取对象使用，再调用service(
在一个项目里用到HBase做底层存储，使用maven来管理相关Jar包依赖，用maven来管理依赖包，特别不爽的就是他会将你引入Jar包自己的依赖都搞进来，经常会出现一些类和方法冲突找不到等状况。这次，也被这个搞了一阵子。我依赖了HBase jar之后，tomcat启动后，访问Web页面（使用JSP）的时候，页面直接抛出一堆异常，贴一下关键的：
已解决No suitable driver found for jdbc:mysql://localhost:3306/ 问题
当自定义Servlet的< url-pattern ></ url-pattern >与Tomcat自带Servlet的< url-pattern ></ url-pattern >配置相同时，优先采用自定义Servlet中的相关配置。假若，自定义Servlet无法处理时再交由Tomcat自带Servlet处理。
非常直观的错误，在启动项目时，jetty报错，无法编译invalidatePrevSession.jsp该文件，原因是FileLinkCellRenderer这个类无法被解析。接着看该jsp文件，可以发现import了不少java类，如下：
本文介绍了Tomcat服务器处理HTTP请求的过程，包括从接收请求到返回响应的整个流程。首先介绍了Tomcat服务器的启动和连接，然后逐步讲解了处理请求的各个组件和组件之间的交互过程。最后，总结了整个处理过程。
假设来自客户的请求为： http://localhost:8080/wsota/wsota_index.jsp
已经完成了 Servlet 的解析工作，并且被包装成 StandardWrapper 添加在 Context 容器中，但它仍不能为我们工作，以为还未被实例化。下面将介绍 Servlet 对象是如何创建及初始化的。 1 创建 Servlet 对象 如果 Servlet 的 load-on-startup 配置项大于 0，那么在 Context 容器启动的时候就会被实例化，上文提到在解析配置文件时会读取默认的 globalWebXml，在 conf 下的 web.xml 文件中定义了一些默认的配置项，其定义了两
上一个文章小编解决了在myeclipse中如何正常解决maven的版本与jdk的问题；
org.apache.jasper.JasperException: The absolute uri: http://java.sun.com/jsp/jstl/core cannot be resolved in either web.xml or the jar files deployed with this application
严重: Servlet.service() for servlet jsp threw exception org.apache.jasper.JasperException: /jsp.jsp(1,2) Page directive: illegal to have multiple occurrences of contentType with different values (old: text/html; charset=UTF-8, new: text/html; carset=UTF-8)
页面使用了多次页面编码。 问题所在： 页面引用公用的头，两个都使用了：pageEncoding=”UTF-8″， 即：<%@ page language=”java” import=”java.util.*” pageEncoding=”UTF-8″%> 去掉其他页面的pageEncoding=”UTF-8″,只留下一个就可以解决问题。
description The server encountered an internal error () that prevented it from fulfilling this request.
为了一次性成功，在hive主目录下找到conf文件夹下的hive_env.sh，将其中得HADOOP_HOME和HIVE_CONF_DIR放开并怕配置
在tomcat的安装路径找到web.xml，修改org.apache.jasper.servlet.JspServlet里的配置；
概述 我们知道在开发工程的时候jsp文件是即修改即生效的。Tomcat jsp热部署的实现原理是每个JSP页面从上次访问到下次访问总是有默认几秒的缓存时间的，也就说并不是严格的即修改即生效，tocmat7默认是有4秒的缓存延迟的。这个默认的缓存延迟是在类 EmbeddedServletOptions 的 private intmodificationTestInterval = 4; 这个属性定义的。如果过了4秒缓存时间即失效，这个时候tomcat就会读取jsp的modified时间戳和work目录下编译好
JSP访问原理/流程总结 第一阶段（请求阶段）：客户端发起请求，请求JSP到服务器。 第二阶段（处理阶段）：Tomcat生成请求对象，然后处理请求。执行JspServlet（或Jsp引擎）将Jsp文件
java.lang.IllegalArgumentException: Request header is too large
该漏洞是由于Tomcat AJP协议存在缺陷而导致，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件，如:webapp配置文件或源代码等。若目标服务器同时存在文件上传功能，攻击者可进一步实现远程代码执行。
来来来，让一下，客官，您要的REST清蒸CRUD来了，火候刚刚好，不油不腻，请慢用~~~ 如果说前面是准备调料，洗菜，切菜，摆盘，那么今天就来完整的上道菜，主要说的是基于REST风格实现数据的增删改查（CRUD）操作。 用料 entity：Employee + Department 对于这样的实体类大家肯定很熟悉，一个Employee就是一个员工，一个Department就是一个部门，一个员工只属于一个部门，一个部门可以对应多个员工。 Employee.java package com
不知大家是否注意了一个问题，我们将 web 项目发布到 tomcat 后，可以直接访问 jsp 后缀的文件，或者直接访问项目中的静态资源（js/css/图片之类的文件），只要路径写的没有问题，都可以正常在浏览器中显示，大家是否思考过，是谁在处理这个请求呢？
JSTL core库的有两种taglib伪指令, 当中RT库即是依赖于JSP传统的请求时属性值, 而不是依赖于EL来实现(称为EL库.JSP2.0将支持EL) JSP中使用<%@ taglib uri=http://java.sun.com/jstl/core prefix=”c”%>在2.3版本号都能够,在2.4就不行了
全称：Java Server Pages, Java服务端页面 描述：一种动态的网页技术，可以在其中定义HTML、JS、CSS等静态内容，以及Java代码的动态内容 说明：JSP = HTML + Java 作用：简化开发，避免了在Servlet中直接输出 HTML 标签
RTFSC 是程序员打怪升级路上避不开的功课，那营造一个舒适的环境来提升上课的体验就很有必要了。
2020年02月20日， 360CERT 监测发现 国家信息安全漏洞共享平台(CNVD) 收录了 CNVD-2020-10487 Apache Tomcat文件包含漏洞。
安全公告编号：CNTA-2020-00042020年02月20日， 360CERT 监测发现 国家信息安全漏洞共享平台(CNVD) 收录了 CNVD-2020-10487 Apache Tomcat文件包含漏洞。CNVD-2020-10487/CVE-2020-1938是文件包含漏洞，攻击者可利用该高危漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件，如：webapp 配置文件或源代码等。受影响的版本包括：Tomcat 6，Tomcat 7的7.0.100以下版本，Tomcat 8的8.5.51以下版本，Tomcat 9的9.0.31以下版本。CNVD 对该漏洞的综合评级为“高危”。
Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，它只是一个servlet容器，是Apache的扩展，但它是独立运行的
在Java Web的开发过程中，可能有过这样的疑问，Tomcat是一个Servlet运行环境（容器），所有经过Tomcat的请求都是由一个Servlet来处理的。Servlet是一个Java类，可是JSP不是，那JSP又是怎么在Tomcat里面运行的呢？
客户端用户点击浏览器服务连接，浏览器通过客户端底层服务通过路由传送报文，目标服务器获取解析报文，Tomcat监听程序触发处理请求
在之前的学习中我们已经了解了SpringBoot得基本启动流程，但是到目前为止还有几个小问题。第一是基于后置处理器的注解解析得详细过程，getBean是如何调用BeanPostProcessors提供的接口的。还有SpringBoot是如何整合Servlet的。如果上述三个问题得到的解决，就我本身来说。我觉得SpringBoot得分析就已经可以初步结束，剩下的工作就是学习springBoot得基础组件比如jdbc、cache、mvn等内容。但是这只是目前的想法，至于在这期的解析中能不能发现新的疑惑目前还不得而知。现在就让我们开始解决这三个疑问吧。
作者 | anquanke 来源 | anquanke.com/post/id/199448
访问官网地址：http://archive.apache.org/dist/lucene/solr/ 从这里选择版本进行下载
摘要： spring boot quick start 在spring boot里，很吸引人的一个特性是可以直接把应用打包成为一个jar/war，然后这个jar/war是可以直接启动的，不需要另外配置一个Web Server。
Tomcat是一个开源的轻量级Web应用服务器，在我们平常工作过程中接触得非常多。代码也非常经典，很多人为了提升自己的技术也会去阅读学习Tomcat的源码。但正如著名诗人李白所说的：世界上本没有漏洞，使用的人多了，也就发现了漏洞。比如今年的2月份就爆出了存在文件包含漏洞。今天我们选择两个比较直观的Tomcat漏洞去模拟整个漏洞被攻击的过程，以及漏洞为什么会产生，Tomcat大神们又是如何应对的。
本文将基于 Tomcat8 进行分析，具体版本为 Tomcat8 当前官网最新修改(2019-11-21 09:28)的版本 v8.5.49
近日，国内安全公司长亭科技披露一个在 Tomcat 中潜伏十多年的安全漏洞——Ghostcat （幽灵猫），其编号为 CVE-2020-1938 。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
