Tomcat
Try Hard Security Group
发现
通常在端口8080上运行
常见的Tomcat错误:
枚举
版本识别
要找到Apache Tomcat的版本,可以执行一个简单的命令:
管理文件位置
识别 /manager
和 /host-manager
目录的确切位置至关重要,因为它们的名称可能会被更改。建议使用暴力搜索来定位这些页面。
用户名枚举
对于早于 6 版本的 Tomcat,可以通过以下方式枚举用户名:
默认凭据
/manager/html
目录特别敏感,因为它允许上传和部署 WAR 文件,这可能导致代码执行。该目录受基本的 HTTP 身份验证保护,常见凭据包括:
admin:admin
tomcat:tomcat
admin:
admin:s3cr3t
tomcat:s3cr3t
admin:tomcat
可以使用以下命令测试这些凭据:
另一个值得注意的目录是 /manager/status
,它显示了Tomcat和操作系统的版本,有助于识别漏洞。
暴力破解攻击
要尝试对管理目录进行暴力破解攻击,可以使用:
常见漏洞
密码回溯泄露
在幸运的情况下,访问 /auth.jsp
可能会显示密码的回溯。
双重URL编码
mod_jk
中的 CVE-2007-1860 漏洞允许双重URL编码路径遍历,通过特制的URL可以未经授权访问管理界面。
要访问 Tomcat 的管理网页,请转到:pathTomcat/%252E%252E/manager/html
/examples
Apache Tomcat 版本 4.x 到 7.x 包括易受信息泄露和跨站脚本(XSS)攻击影响的示例脚本。这些列出的脚本应该被检查是否存在未经授权访问和潜在利用。查找更多信息
/examples/jsp/num/numguess.jsp
/examples/jsp/dates/date.jsp
/examples/jsp/snp/snoop.jsp
/examples/jsp/error/error.html
/examples/jsp/sessions/carts.html
/examples/jsp/checkbox/check.html
/examples/jsp/colors/colors.html
/examples/jsp/cal/login.html
/examples/jsp/include/include.jsp
/examples/jsp/forward/forward.jsp
/examples/jsp/plugin/plugin.jsp
/examples/jsp/jsptoserv/jsptoservlet.jsp
/examples/jsp/simpletag/foo.jsp
/examples/jsp/mail/sendmail.jsp
/examples/servlet/HelloWorldExample
/examples/servlet/RequestInfoExample
/examples/servlet/RequestHeaderExample
/examples/servlet/RequestParamExample
/examples/servlet/CookieExample
/examples/servlet/JndiServlet
/examples/servlet/SessionExample
/tomcat-docs/appdev/sample/web/hello.jsp
路径遍历利用
在一些Tomcat的易受配置中,您可以使用路径 /..;/
访问Tomcat中的受保护目录。
因此,例如,您可能能够通过访问 www.vulnerable.com/lalala/..;/manager/html
来访问Tomcat管理器页面。
另一种绕过受保护路径的方法是访问 http://www.vulnerable.com/;param=value/manager/html
RCE
最后,如果您可以访问Tomcat Web应用程序管理器,您可以上传和部署.war文件(执行代码)。
限制
只有当您拥有足够的权限(角色:admin、manager和manager-script)时,您才能部署WAR。这些详细信息通常在 /usr/share/tomcat9/etc/tomcat-users.xml
中定义(在不同版本之间可能有所不同)(请参阅POST部分)。
Metasploit
Metasploit是一个广泛使用的渗透测试工具,可以帮助渗透测试人员评估系统的安全性,发现漏洞并执行各种攻击。
MSFVenom反向Shell
创建用于部署的war文件:
上传
revshell.war
文件并访问它 (/revshell/
):
使用 tomcatWarDeployer.py 进行绑定和反向 shell
在某些情况下,这种方法不起作用(例如旧版本的 sun)
下载
反向 shell
绑定 shell
使用 Culsterd
手动方法 - Web shell
创建名为 index.jsp 的文件,并使用以下内容:
手动方法2
获取一个JSP Web shell,比如这个,并创建一个WAR文件:
POST
Tomcat凭据文件的名称为 tomcat-users.xml
其他收集Tomcat凭证的方法:
其他Tomcat扫描工具
参考资料
Try Hard Security Group
最后更新于