上海IT培训
美国上市IT培训机构

13062801911

热门课程

tomcat沉睡十年的漏洞

  • 时间:2020-03-18 15:36
  • 发布:亚搏appIT培训机构
  • 来源:qa

Java 是目前 Web 开发中最主流的编程语言,而 Tomcat 是当前最流行的 Java 中间件服务器之一,从初版发布到现在已经有二十多年历史,在世界范围内广泛使用。

最近一段时间,大家都在远程办公,却都急急忙忙的升级线上的 Tomcat 版本,原因就是 Tomcat 被曝出了严重的漏洞,几乎涉及到所有的版本。

具体来说就是 Apache Tomcat 服务器存在文件包含漏洞,攻击者可利用该漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件,如:webapp 配置文件或源代码等。

由于 Tomcat 默认开启的 AJP 服务(8009 端口)存在一处文件包含缺陷,攻击者可构造恶意的请求包进行文件包含操作,进而读取受影响 Tomcat 服务器上的 Web 目录文件。

发现这个漏洞的是国内一线的安全公司长亭科技,他们将这个漏洞命名为Ghostcat(幽灵猫)。

漏洞影响的版本

? Apache Tomcat 6

? Apache Tomcat 7 < 7.0.100

? Apache Tomcat 8 < 8.5.51

? Apache Tomcat 9 < 9.0.31

由于 Tomcat AJP 协议设计上存在缺陷,攻击者通过 Tomcat AJP Connector 可以读取或包含 Tomcat 上所有 webapp 目录下的任意文件,例如可以读取 webapp 配置文件或源代码。此外在目标应用有文件上传功能的情况下,配合文件包含的利用还可以达到远程代码执行的危害。

漏洞修复方案

1、禁用Tomcat 的 AJP 协议端口,在 conf/server.xml 配置文件中注释掉 <Connector port="8009" protocol="AJP/1.3"redirectPort="8443" />。

2、在 ajp 配置中的 secretRequired 跟 secret 属性来限制认证。

3、对 Tomcat 进行版本升级。

最近版本的tomcat都是默认开启ajp协议,所以这个漏洞的影响力应该是非常广的。看完这篇文章,相信很多人可能连测试时遇到的问题的都摸不着头脑,希望大家理解文件包含漏洞以及任意代码执行漏洞的原理再来进行测试。

原文来自于 自动化软件测试

免责声明:文章内容来源于网络,如有侵权,请联系我们删除。

上一篇:软件测试培训班课程怎么样 学什么内容
下一篇:没有下一篇了

亚搏app软件测试培训班教学优势

学习软件测试工资待遇怎么样

软件测试培训班课程怎么样 学什么内容

上海软件测试培训哪家好 如何选择软件测试培训班

选择城市和中心
北京

黑龙江省

  • 达内哈尔滨哈站中心
  • 达内哈尔滨哈西中心
  • 达内大庆中心
吉林省

  • 达内长春长大中心
  • 达内长春亚泰中心
辽宁省

内蒙古

  • 达内呼和浩特中心
天津

河北省

  • 达内石家庄先天下中心
  • 达内石家庄中山路中心
  • 达内秦皇岛中心
山西省

  • 达内太原龙城中心
  • 达内太原会计中心
  • 达内太原学府中心
  • 达内太原网络营销中心
  • 达内晋中中心
  • 达内运城中心
陕西省

  • 达内西安交大中心
  • 达内西安高新中心
  • 达内西安和平门中心
  • 达内西安省体中心
山东省

  • 达内济南山大路中心
  • 达内济南趵突泉中心
  • 达内济南会计中心
  • 达内济南大明湖中心
  • 达内青岛山东路中心
  • 达内烟台海港路中心
  • 达内潍坊中心
  • 达内临沂中心
  • 达内青岛CBD中心
  • 达内青岛西海岸中心
  • 达内青岛城阳中心
河南省

  • 达内郑州文化路中心
  • 达内郑州嵩山路中心
  • 达内郑州金水路中心
  • 达内郑州东风路中心
  • 达内洛阳王城中心
江苏省

  • 达内南京总统府中心
  • 达内南京新街口中心
  • 达内南京软件谷中心
  • 达内南京明故宫中心
  • 达内南京常府街中心
  • 达内苏州南门中心
  • 达内苏州园区中心
  • 达内苏州石路中心
  • 达内无锡宝龙中心
  • 达内无锡恒隆中心
  • 达内徐州中心
安徽省

  • 达内合肥银泰中心
  • 达内合肥农大中心
  • 达内合肥三孝口中心
  • 达内合肥汇金中心
  • 达内芜湖中心
  • 达内蚌埠中心
湖北省

  • 达内武汉光谷中心
  • 达内武汉洪山?中心(原民大中心)
  • 达内武汉武昌中心
  • 达内武汉鲁广中心
四川省

  • 达内成都钻石中心
  • 达内成都高升桥中心
  • 达内成都锦江中心
  • 达内成都天府中心
  • 达内成都金融街中心
重庆

  • 达内重庆杨家坪中心
  • 达内重庆石桥铺中心
  • 达内重庆江北中心
  • 达内重庆解放碑中心
湖南省

  • 达内长沙松桂园中心
  • 达内长沙河西CBD中心
江西省

  • 达内南昌中心
浙江省

  • 达内杭州西湖中心
  • 达内杭州西溪中心
  • 达内杭州黄龙中心
  • 达内杭州下沙中心
  • 达内杭州文教中心
  • 达内宁波中心
  • 达内温州中心
贵州省

  • 达内贵阳中心
福建省

云南省

  • 达内昆明五一路中心
  • 达内昆明春城路中心
  • 达内昆明金尚中心
广西省

  • 达内南宁中心
广东省

  • 达内广州五羊中心
  • 达内广州天河北中心
  • 达内广州体育东中心
  • 达内广州岗顶中心
  • 达内广州云计算中心
  • 达内华南大学生实训基地
  • 达内广州客村中心
  • 达内深圳罗湖中心
  • 达内深圳龙岗中心
  • 达内深圳宝安中心
  • 达内深圳宝安体育馆中心
  • 达内深圳童程童美中心
  • 达内深圳地王中心
  • 达内深圳科技园中心
  • 达内深圳龙华中心
  • 达内珠海中心
  • 达内东莞南城中心
  • 达内东莞东城中心
  • 达内佛山中心
  • 达内中山中心
海南省

  • 达内海南中心
//360推送 //百度自动推送 //51la