1．漏洞简介

<?xml version="1.0" encoding="UTF-8"?> 
<project xmlns="http://maven.apache.org/POM/4.0.0" 
 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
 xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.
org/xsd/maven-4.0.0.xsd"> 
 
 <modelVersion>4.0.0</modelVersion> 
 <groupId>org.apache.tomcat</groupId> 
     <artifactId>Tomcat8.0</artifactId> 
     <name>Tomcat8.0</name> 
         <version>8.0</version> 
 
 <build> 
     <finalName>Tomcat8.0</finalName> 
     <sourceDirectory>java</sourceDirectory> 
     <testSourceDirectory>test</testSourceDirectory> 
 <resources> 
 <resource> 
         <directory>java</directory> 
 </resource> 
 </resources> 
 <testResources> 
 <testResource> 
         <directory>test</directory> 
 </testResource> 
 </testResources> 
     <plugins> 
     <plugin> 
 <groupId>org.apache.maven.plugins</groupId> 
 <artifactId>maven-compiler-plugin</artifactId> 
 <version>2.3</version> 
     <configuration> 
             <encoding>UTF-8</encoding>
             <source>1.8</source> 
 <target>1.8</target> 
 </configuration> 
 </plugin> 
 </plugins> 
 </build> 
 
 <dependencies> 
 <dependency> 
 <groupId>junit</groupId> 
 <artifactId>junit</artifactId> 
 <version>4.12</version> 
 <scope>test</scope> 
 </dependency> 
 <dependency> 
 <groupId>org.easymock</groupId> 
 <artifactId>easymock</artifactId> 
 <version>3.4</version> 
 </dependency> 
 <dependency> 
 <groupId>ant</groupId> 
 <artifactId>ant</artifactId> 
 <version>1.7.0</version> 
 </dependency> 
 <dependency> 
 <groupId>wsdl4j</groupId> 
 <artifactId>wsdl4j</artifactId> 
 <version>1.6.2</version> 
 </dependency> 
 <dependency> 
 <groupId>javax.xml</groupId> 
 <artifactId>jaxrpc</artifactId> 
 <version>1.1</version> 
 </dependency> 
 <dependency> 
 <groupId>org.eclipse.jdt.core.compiler</g
roupId> 
 <artifactId>ecj</artifactId> 
 <version>4.5.1</version> 
 </dependency> 
 </dependencies> 
</project>

然后添加一个 Application，如下图所示

•  新增 Application 的配置信息。

• 在 Man class:中填入:org.apache.catalina.startup.Bootstrap。
• 在 VMoptions:中填入:-Dcatalina.home="apache-tomcat-8.5.34"，并将 catalina.
• home 替换成 tomcat binary core 的目录。
• JDK 默认是 1.8，因为我安装的是 jdk1.8 版本。
• 启动过程中 Test 模块会报错，且为 TestCookieFilter.java，注释里面的测试内容即可。
• 然后访问 127.0.0.1:8080，如出现以下页面，则表示环境搭建成功，如下图所示。

4．漏洞复现

 RCE 如图 4-1 和图 4-2 所示

 5、漏洞分析

首先定位到类 org.apache.coyote.ajp.AjpProcessor。根据网上透漏的漏洞消息，得知漏洞的产生是由于 Tomcat 对 ajp 传递过来的数据的处理方式存在问题，导致用户可以控制

1. “javax.servlet.include.request_uri”
2. “javax.servlet.include.path_info”
3. “javax. servlet.include.servlet_path”

这 3 个参数，从而读取任意文件，甚至可以进行 RCE。

我们先从任意文件读取开始分析。环境使用 Tomcat 8.0.50 版本搭建，产生漏洞的原因并不在于 AjpProcessor.prepareRequest() 方法。 8.0.50 版本的漏洞点存在于AjpProcessor 的父类，即 AbstractAjpProcessor 抽象类的 prepareRequest() 中，如下图 5-1  所示

 在这里设置断点，然后运行 exp，查看此时的调用链，如下图所示

 由于此次数据传输使用的是 AJP，经过 8009 口，并非我们常见的 HTTP，因此首先由内部类 SocketPeocessore 来进行处理。

URI:/asdf 
javax.servlet.include.request_uri:/ 
javax.servlet.include.path_info: WEB-INF/Test.txt 
javax.servlet.include.servlet_path:/

通过阅读关于 Tomcat 架构的文章和资料得知， Tomcat$ CATALINA_BASE/conf/web.xml 配置文件中默认定义了两个 Servlet ：一个是 DefaultServlet ，如图 5-9所示；另一个是 JspServlet ，如图 5-92 所示。

返回 DefaultServle.serveResource() 。然后判断 path 变量长度是否为 0 ，为 0 则调

用目录重定向方法，如图 5-16  所示。

以下是任意文件读取的调用链，如图 5-25  所示

6．RCE 实现的原理

        前面介绍过 Tomcat$ CATALINA_BASE/conf/web.xml 配置文件中默认定义了两个 Servlet 。上述任意文件读取利用了 DefaultServlet，而 RCE 则需要用到 JspServlet 。 默认情况下，JspServlet 的 url-pattern 为 .jsp 和 .jspx ，因此它负责处理所有 JSP 文件的请求。

• 根据 JSP 文件生成对应 Servlet 的 Java 代码（JSP 文件生成类的父类 org.apache.jasper.runtime.HttpJspBase——实现了 Servlet 接口）。
• 将 Java 代码编译为 Java 类。
• 构造 Servlet 类实例并且执行请求。

1. RCE 本质是通过 JspServlet 来执行我们想要访问的.jsp 文件。
2. RCE 的前提是，首先想办法将包含需要执行的命令的文件（可以是任意文件后缀，甚至没有后缀）上传到 webapp 的目录下，才能访问该文件；然后通过 JSP 模板的解析造成 RCE。

         接下来调用 serviceJspFile()方法，如图 6-6 所示