Apache Tomcat Ajp CVE-2020-1938漏洞复现
环境搭建:
sudo docker pull duonghuuphuc/tomcat-8.5.32
sudo docker run -d -it -p 8080:8080 -p 8009:8009 --name ghostcat duonghuuphuc/tomcat-8.5.32
tomcat调试:
export JAVA_OPTS='-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005'
漏洞复现:
任意文件读取
任意文件包含
请求存在的jsp使其包含指定的文件中的jsp代码
实际上根据不同的匹配将由不同的serverlet进行处理
漏洞分析:
这里根据网上的exp来分析一下:
首先去去github看看是啥时候commit修复的该漏洞
可以确定2月5号已经修复该问题了,点进去看看修复点
可以看到这里把原先的监听外网,改为监听本地地址了,根据网上的资料可以看到实际上攻击过程主要控制以下三个属性,发送的消息如果包含着三个值,那么serverlet将根据三个值属性进行request请求的改造,而这三个值都可以直接加到ajp数据包中
从修改的文件中大致可以推断到处理ajp消息的文件,进去看看
其中AjpProcessor.java中定义了处理jsp数据包中attributes中的逻辑,可以看到在处理attr属性时else了一条set,那么如果n,v可控就可以注入属性了
实际上上面的设置属性是在prepareRequest函数中,处理完后将调用getAdapter继续之后的请求过程,即匹配serverlet了
文件包含
org/apache/jasper/servlet/JspServlet.java
实际上这里文件包含只需要用到这两个属性即可,当然前提是匹配到存在的jsp文件,例如请求index.jsp
文件读取:
直接双shift找到defaultserverlet,在doget方法中通过getRelaticePath拿到请求的路径
这里将通过设置的属性来获取最重要读取的文件属性,这里需要同时设置这三个属性才可以,因为此时请求路径不存在,所以就从属性中取路径了,只要求该属性不为null即可,并重新定义要读取的文件
之后经过处理将这两个属性拼接并返回,即serverlet_path/path_info,之后就读取文件资源
看一下git上的ajp的一个demo
这里调用完end以后就构造完数据包,接下来就发包了,所以要改一下end函数
这里结束字节是0XFF,所以要在该字节前面插入
抓包可以看到ajp协议的通信过程
可以清楚看到所加入的属性值,都是明文,加入位置也可以清楚看到
总结:
任意文件读取和任意文件包含范围:
webapps目录下的文件,默认的exp只能读取webapps/ROOT下的文件,需对exp加以修改才能读取webapps下的其他文件,修改如下:
因为webapps下可以存在多个应用,那么不同的应用实际上可以认为是不同的context,则对于tomcat容器来说,对于客户端发送的请求将首先对context进行匹配,匹配以后则进行相应的serverlet的匹配,那么exp默认是ROOT,那么假如想要读取webapps下的manager下的文件,则可以修改req_uri来使tomcat匹配到该context即可
所以修改exp:
只需修改上图一处,那么对应exp中ajp_request的封装中将该值赋给req_uri
效果如下图所示:
任意包含只需要:
1.请求存在的
2.pathinfo和serverlet_path两个属性执行包含的文件
任意文件读取:
1.请求不存在的文件
2.request_uri属性必须存在,值可为任意
3.pathinfo和serverlet_path组合对应文件路径
修复:
1.若不需要使用Tomcat AJP协议,可直接关闭AJP Connector,或将其监听地址改为仅监听本机localhost。
监听本地:
<Connector protocol="AJP/1.3" address="::1" port="8009" redirectPort="8443" />
此时重启tomcat即测试不成功
2.增加ajp connector密钥认证方式
tomcat version7 version9
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" address="YOUR_TOMCAT_IP_ADDRESS" secret="YOUR_TOMCAT_AJP_SECRET"/>
tomcat version8
tips:
影响范围:
Apache Software Foundation Tomcat 6.*
Apache Software Foundation Tomcat 7.0.0 - 7.0.99
Apache Software Foundation Tomcat 8.0.0 - 8.5.50
Apache Software Foundation Tomcat 9.0.0 - 9.0.30
poc地址:
https://github.com/0nise/CVE-2020-1938
参考:
https://blog.csdn.net/yiqiushi4748/article/details/104428847
https://blog.csdn.net/wangchengsi/article/details/2973012 coyote框架
https://youmeek.gitbooks.io/intellij-idea-tutorial/content/remote-debugging.html idea之旅
https://xz.aliyun.com/t/7325 先知讲tomcat的,还行