0x00 起源

之前分析某设备被入侵，一直没查出来攻击者是怎么黑掉设备的，于是对着设备一通分析。结果发现了另外一条黑进去的方法。。。当然最好是弄清楚了实际原因，附带给把这个意外的漏洞给修了，回去研究发现原因很简单。

顺带一提，漏洞形成的原因虽然是Tomcat本身的原因，但是开发公司各种糟糕的配置是把该问题放大的帮凶。

tomcat是一个开源Web服务器，基于Tomcat的Web运行效率高，可以在一般的硬件平台上流畅运行，因此，颇受Web站长的青睐。不过，在默认配置下其存在一定的安全隐患，可被恶意攻击。

0x01 问题起源

Tomcat是一个开源Web服务器，基于Tomcat的Web运行效率高，最方便的是没有复杂的安全，解压文件就能使用，不过因为Tomcat实在太火了，被人研究的也很透彻。

后台界面
  • Tomcat的默认后台地址为:http://域名:端口/manager/html.

进入之后弹出登陆对话框,Tomcat默认的用户名admin,密码为空。原因很简单，默认的配置是没有给他配置密码的，当然如果碰上密码不正确，可以试试弱口令。

  • 获取Webshell

在管理界面有很多信息可以查看，包括Linux版本，Tomcat版本，相关路径等等
管理界面有个模块，可以上传WAR文件。Tomcat可以解析WAR文件，能够将其解压并生成web文件。

如果将一个jsp格式的webshell打包然后改名为WAR，将其上传到服务器，
然后在上传路径上打开jsp木马，这样就获得了一个Webshell。

  • 获取设备root权限

Tomcat服务默认是以system权限运行的，因此该jsp木马就继承了其权限，然后可以干什么事我就不说了。

0x02 漏洞防范

  1. 修改\conf\tomacat-users.xml 把默认密码修改为强密码。

  2. 关闭或者删除Tomcat后台 \webapps全部删除就好（简单暴力）。

  3. 服务降权，限制Tomcat的权限。

0x03 尾巴

该漏洞主要是几个连环的问题引起的：

  1. Tomcat后台
  2. 弱密码
  3. 支持文件上传
  4. 权限不当

不光是Tomcat，所有的服务器都得注意以上的一些安全问题。