时隔应该快一年了吧,具体ghost这个漏洞出来我也忘记了,由于我最近无聊,然后想起我使用的tomcat有没有漏洞,于是我就来试了试,顺便分析一下这段已经时隔许久的漏洞,依稀记得上次的文章是简单的复现~~ 反正是闲的无聊
idea2020.2 + tomcat7.0.99+jdk1.8
具体参考这篇文章,idea导入Tomcat源码:
环境与exp打包好,在附件中~,收1金币应该问题不大,我想社区币去抽华子
https://blog.csdn.net/u013268035/article/details/81349341
https://www.cnblogs.com/r00tuser/p/12343153.html
Tomcat部署的时候会有两个重要的文件
而Tomcat在 server.xml
中配置了两种连接器。其中包含的是AJP Connector和HTTP Connector
AJP Connector说明启用了8080和8009端口,这时候我们可以看一下
而相对于,8080我们是可以访问的
也就是说,8080是负责Http协议,8009负责接收ajp协议;
提问1:AJP协议和HTTP协议有什么区别吗?
HTTP协议:负责接收建立HTTP数据包,成为一个web服务器,处理HTTP协议的同时还额外可处理Servlet
和jsp
AJP协议: 负责和其他的HTTP服务器建立连接, 通过AJP协议和另一个web容器进行交互
Web用户访问Tomcat服务器的两种方式
而一个Tomcat就是一个server,其中包含多个service;而每个service由Connector、Container、Jsp引擎、日志等组件构成,造成漏洞的关键地方是Connector、Container
Connector上面已经说过分别是AJP Connector和HTTP Connector ,是用来接受客户端的请求,请求中的数据包在被Connector解析后就会由Container处理。这个过程大致如下图:
一次请求的处理可以划分为Connector及Container进行处理,经历的过程大致如下:
对于使用HTTP协议或AJP协议进行访问的请求来讲,在解析包装成为request和response对象之后的流程都是一样的,主要的区别就是对 socket流量的处理以及使用Processor进行解析的过程的不同
也就是第二步的地方出现问题
通过第三步中,我们知道是Processor的解析过程不同,而提供这部分功能的接口,在 org.apache.coyote.Processor
,主要负责请求的预处理。
而此处AjpProcessor则是处理ajp协议的请求,并通过它将请求转发给Adapter,针对不用的协议则具有不同的实现类。
我们从上面wirshark抓包可以看出
可以看出这边是设置了三个莫名其妙的东西
通过exp源码可以看到这边是设置了三个域对象的值
可以看出,我们这边是执行成功了,由于wirshark抓包没有去截图,又关闭了,所以就不截图了
这边可以假设:请求参数时是写死,也就是xxx.jsp文件,而jsp后缀等等原因,然后成功进行了文件包含
那么我们的test.txt是怎么识别的?
我们继续往下看,来解决种种疑惑
知道是这个prepareRequest()问题,我们f7跟进去看看
进入了该方法的内部,我们继续跟进查看,这边进行判断,获取到了请求参数为GET
首先是一些解析数据包读取字节的操作
while循环获取,switch判断
当attributeCode=10时,则进入第一条分支,继续f8进去
是不是有了有种眼熟的感觉~~~ 其实就是往域对象中存值
由于if都不满足,直接进入了最后这个比进的else分支
最后进入第二个步骤的最后一小步,f8继续下一步走,在预处理完了request headers之后,在adapter里面处理request,然后调用Adapter将请求交给Container处理
进入service方法,然后f8一直跟进
直到跟进此处,请求会发送到对应的servlet,我们请求的是一个jsp文件,根据tomcat的默认web.xml文件
通过上面假设,tomcat默认将jsp/jspx结尾的请求交给org.apache.jasper.servlet.JspServlet
处理,它的service()
方法如下:
而jspUri等于null,满足条件,则进入该if条件分支
由于javax.servlet.include.servlet_path可控制,通过getAttribute去域对象中获取属性名为javax.servlet.include.servlet_path的值,得到值为 test.txt
此时,jspUri的值为/test.txt
pathInfo的值此时为空
最后一直到下面,传入serviceJspFile方法中
继续跟进,会先判断文件是否存在,如果存在,随后才会初始化wrapper,最后调用JspServletWrapper的service方法来解析,从而导致本地文件包含
https://www.cnblogs.com/r00tuser/p/12343153.html
用户名 | 金币 | 积分 | 时间 | 理由 |
---|---|---|---|---|
任意 | 50.00 | 0 | 2021-02-02 13:01:31 | 一个受益终生的帖子~~ |
任意 | 190.00 | 0 | 2021-02-02 13:01:27 | 一个受益终生的帖子~~ |
veek | 100.00 | 0 | 2021-01-18 10:10:08 | 期待更多干货~ |
打赏我,让我更有动力~
© 2016 - 2024 掌控者 All Rights Reserved.
高粱红
发表于 2021-1-21
学习
评论列表
加载数据中...
柠檬
发表于 2021-1-21
666
评论列表
加载数据中...
amwusrso
发表于 2021-1-22
1
评论列表
加载数据中...