Apache Tomcat文件包括误差剖析
宣布时间 2020-02-21一、误差概述
2020年2月20日，，，，国家信息清静误差共享平台（CNVD）宣布关于Apache Tomcat的清静通告，，，，Apache Tomcat文件包括误差（CNVD-2020-10487，，，，对应CVE-2020-1938）。。。。。。Tomcat AJP协议由于保存实现缺陷导致相关参数可控，，，，攻击者使用该误差可通过结构特定参数，，，，读取效劳器webapp下的恣意文件。。。。。。若效劳器端同时保存文件上传功效，，，，攻击者可进一步实现远程代码的执行。。。。。。
二、误差剖析
通过对Apache Tomcat源码举行剖析，，，，发明Tomcat在处置惩罚ajp协议时保存误差，，，，可通过挪用request.setAttribute为Tomcat设置恣意request属性，，，，如下图所示：
通太过析复现发明Tomcat ajp协议保存web目录下恣意文件读取误差以及JSP文件包括误差。。。。。。当ajp URI设置为非jsp路径时，，，，Tomcat会挪用DefaultServlet处置惩罚，，，，此时会导致web目录恣意文件读取误差。。。。。。当ajp URI设置为jsp路径时，，，，Tomcat会挪用JspServlet处置惩罚，，，，此时会导致JSP文件包括误差。。。。。。
2.1 Web目录恣意文件读取误差
当ajp URI设置为非jsp路径时，，，，Tomcat会挪用DefaultServlet处置惩罚,我们需要控制如下两个属性：
javax.servlet.include.path_info
javax.servlet.include.servlet_path
其中，，，，javax.servlet.include.servlet_path属性为目今项目路径、javax.servlet.include.path_info属性为目录路径。。。。。。然后，，，，通过DefaultServlet类的getRelativePath要领举行拼接获得path路径。。。。。。如下图所示：
最后，，，，会将path带入到getResource(path)要领中造成恣意文件读取。。。。。。如下图所示：
使用该误差乐成读取到/WEB-INF/目录下web.xml文件。。。。。。
2.2 Jsp文件包括误差
当ajp URI设置为jsp路径时，，，，Tomcat会挪用JspServlet的service要领处置惩罚，，，，如下图所示：
同样会获取javax.servlet.include.path_info、javax.servlet.include.servlet_path这两个属性（经由上面的剖析我们已经知道可以通过ajp协议控制这两个属性）。。。。。。将这两个属性对应的值拼接到jspURi变量中，，，，最后交给serviceJspFile要领处置惩罚，，，，如下图所示：
Venus.txt文件代码如下所示：
乐成RCE效果如下图所示：
三、影响版本
Tomcat 6
Tomcat 7
Tomcat 8
Tomcat 9
四、规避计划
将Tomcat连忙升级到9.0.31、8.5.51或7.0.100版本举行修复。。。。。。
禁用AJP协议。。。。。。
编辑 /conf/server.xml，，，，找到如下行：
<Connector port="8009"protocol="AJP/1.3" redirectPort="8443" />
将此行注释掉（也可删掉该行）：
<!--<Connectorport="8009" protocol="AJP/1.3"redirectPort="8443" />-->
设置secret来设置AJP协议的认证凭证。。。。。。
例如（注重必需将YOUR_TOMCAT_AJP_SECRET更改为一个清静性高、无法被容易猜解的值）：
<Connector port="8009"protocol="AJP/1.3" redirectPort="8443"address="YOUR_TOMCAT_IP_ADDRESS" secret="YOUR_TOMCAT_AJP_SECRET"/>
京公网安备11010802024551号