Tomcat
Discovery
Зазвичай працює на порті 8080
Звичайна помилка Tomcat:
Enumeration
Version Identification
Щоб знайти версію Apache Tomcat, можна виконати просту команду:
Це буде шукати термін "Tomcat" на сторінці індексу документації, виявляючи версію в тегу заголовка HTML-відповіді.
Розташування файлів менеджера
Визначення точних місць розташування /manager
та /host-manager
каталогів є критично важливим, оскільки їхні назви можуть бути змінені. Рекомендується використовувати брутфорс для знаходження цих сторінок.
Перерахування імен користувачів
Для версій Tomcat старіших за 6, можливо перерахувати імена користувачів через:
Типові облікові дані
Директорія /manager/html
є особливо чутливою, оскільки дозволяє завантаження та розгортання WAR файлів, що може призвести до виконання коду. Ця директорія захищена базовою HTTP аутентифікацією, з типовими обліковими даними:
admin:admin
tomcat:tomcat
admin:
admin:s3cr3t
tomcat:s3cr3t
admin:tomcat
Ці облікові дані можна протестувати за допомогою:
Іншою помітною директорією є /manager/status
, яка відображає версію Tomcat та ОС, що допомагає в ідентифікації вразливостей.
Атака методом грубої сили
Щоб спробувати атаку методом грубої сили на директорію менеджера, можна використовувати:
Разом із налаштуванням різних параметрів у Metasploit для націлювання на конкретний хост.
Загальні вразливості
Розкриття пароля через Backtrace
Доступ до /auth.jsp
може розкрити пароль у backtrace за сприятливих обставин.
Подвійне кодування URL
Вразливість CVE-2007-1860 у mod_jk
дозволяє подвійне кодування URL для обходу шляхів, що забезпечує несанкціонований доступ до інтерфейсу управління через спеціально підготовлений URL.
Щоб отримати доступ до веб-інтерфейсу управління Tomcat, перейдіть за адресою: pathTomcat/%252E%252E/manager/html
/examples
Версії Apache Tomcat 4.x до 7.x включають приклади скриптів, які піддаються розкриттю інформації та атакам міжсайтового скриптингу (XSS). Ці скрипти, які наведені вичерпно, слід перевірити на несанкціонований доступ і потенційне використання. Знайдіть додаткову інформацію тут
/examples/jsp/num/numguess.jsp
/examples/jsp/dates/date.jsp
/examples/jsp/snp/snoop.jsp
/examples/jsp/error/error.html
/examples/jsp/sessions/carts.html
/examples/jsp/checkbox/check.html
/examples/jsp/colors/colors.html
/examples/jsp/cal/login.html
/examples/jsp/include/include.jsp
/examples/jsp/forward/forward.jsp
/examples/jsp/plugin/plugin.jsp
/examples/jsp/jsptoserv/jsptoservlet.jsp
/examples/jsp/simpletag/foo.jsp
/examples/jsp/mail/sendmail.jsp
/examples/servlet/HelloWorldExample
/examples/servlet/RequestInfoExample
/examples/servlet/RequestHeaderExample
/examples/servlet/RequestParamExample
/examples/servlet/CookieExample
/examples/servlet/JndiServlet
/examples/servlet/SessionExample
/tomcat-docs/appdev/sample/web/hello.jsp
Експлуатація обходу шляху
У деяких вразливих конфігураціях Tomcat ви можете отримати доступ до захищених директорій у Tomcat, використовуючи шлях: /..;/
Отже, наприклад, ви можете отримати доступ до сторінки менеджера Tomcat, перейшовши за адресою: www.vulnerable.com/lalala/..;/manager/html
Інший спосіб обійти захищені шляхи, використовуючи цей трюк, - це доступ до http://www.vulnerable.com/;param=value/manager/html
RCE
Нарешті, якщо у вас є доступ до Менеджера веб-додатків Tomcat, ви можете завантажити та розгорнути файл .war (виконати код).
Обмеження
Ви зможете розгорнути WAR лише якщо у вас є достатні привілеї (ролі: admin, manager та manager-script). Ці деталі можна знайти в tomcat-users.xml, зазвичай визначеному в /usr/share/tomcat9/etc/tomcat-users.xml
(це варіюється між версіями) (див. POST розділ).
Metasploit
MSFVenom Reverse Shell
Створіть war для розгортання:
Завантажте файл
revshell.war
і отримайте доступ до нього (/revshell/
):
Прив'язка та зворотний шелл з tomcatWarDeployer.py
В деяких сценаріях це не працює (наприклад, старі версії sun)
Завантажити
Зворотний шелл
Бінд оболонка
Використання Culsterd
Ручний метод - Веб-оболонка
Створіть index.jsp з цим вмістом:
Ви також можете встановити це (дозволяє завантаження, скачування та виконання команд): http://vonloesch.de/filebrowser.html
Ручний метод 2
Отримайте JSP веб-оболонку, таку як ця та створіть файл WAR:
POST
Назва файлу облікових даних Tomcat - tomcat-users.xml
Інші способи збору облікових даних Tomcat:
Інші інструменти сканування tomcat
Посилання
Last updated