Tomcat 高危漏洞深度剖析与实战复现

1. Tomcat高危漏洞概述

如果你正在使用Tomcat作为Web服务器，那么这篇文章就是为你准备的。Tomcat作为最流行的Java Web应用服务器之一，广泛用于企业级应用部署。但你可能不知道，它历史上存在多个高危漏洞，攻击者可以利用这些漏洞完全控制你的服务器。

我见过太多因为忽视这些漏洞而导致的安全事故。有一次，一个客户的电商网站被入侵，攻击者正是利用了Tomcat的CVE-2017-12615漏洞上传了WebShell，导致大量用户数据泄露。从那以后，我就特别关注Tomcat的安全问题。

目前最值得关注的几个高危漏洞包括：

• CVE-2017-12615：任意文件上传漏洞
• CVE-2020-1938：AJP协议文件包含漏洞（幽灵猫）
• CVE-2025-24813：最新曝出的远程代码执行漏洞
• 弱口令+war包部署：管理后台常见安全问题

这些漏洞的共同特点是利用门槛低、危害大。攻击者不需要任何认证，就能通过这些漏洞获取服务器权限。接下来，我会带你深入分析这些漏洞的原理，并手把手教你如何复现和防御。

2. CVE-2017-12615漏洞深度分析

2.1 漏洞原理剖析

这个漏洞的核心在于Tomcat对PUT方法的处理存在缺陷。正常情况下，Tomcat应该禁止用户通过PUT方法上传文件，但某些配置下这个限制可以被绕过。

具体来说，当conf/web.xml中的readonly参数被设置为false时（默认是true），攻击者就可以使用PUT方法上传文件。虽然Tomcat会检查文件后缀名，禁止.jsp文件上传，但通过一些技巧可以绕过这个限制。

我在测试中发现，以下几种方式都能成功绕过：

• 在文件名后添加斜杠：shell.jsp/
• 在文件名后添加空格：shell.jsp
• 使用双后缀名：shell.jsp.txt

2.2 漏洞复现实战

让我们用Vulhub环境来复现这个漏洞。Vulhub是一个非常好的漏洞测试环境集合，我经常用它来做安全测试。

首先启动环境：

docker-compose up -d

然后我们使用curl发送PUT请求上传文件：

curl -X PUT -d "test" http://target:8080/test.txt

如果返回HTTP 201 Created，说明上传成功。接下来尝试上传JSP木马：

curl -X PUT -d '<% out.println("Hello World"); %>' http://target:8080/shell.jsp/

注意最后的斜杠，这就是我们的绕过技巧。上传成功后，访问这个JSP文件就能执行任意代码了。

2.3 漏洞修复方案

根据我的经验，修复这个漏洞有几种方法：

1. 升级Tomcat版本：官方在7.0.82版本修复了这个问题
2. 修改配置文件：将conf/web.xml中的readonly参数设为true
3. 禁用PUT方法：如果你不需要RESTful API，可以直接禁用PUT方法

我建议同时采用多种措施，因为安全防御需要层层设防。另外，定期检查webapps目录下是否有可疑文件也是个好习惯。

3. CVE-2020-1938幽灵猫漏洞详解

3.1 AJP协议的安全隐患

这个漏洞涉及Tomcat的AJP协议，这是很多人容易忽视的一个攻击面。AJP协议主要用于Tomcat与其他Web服务器（如Apache）的通信，默认监听8009端口。

问题在于，AJP协议设计时没有充分考虑安全性。攻击者可以通过构造特殊的AJP请求，读取Web应用目录下的任意文件，包括敏感的WEB-INF/web.xml文件。

我在一次渗透测试中，就是通过这个漏洞获取了一个网站的数据库配置信息。因为开发人员把数据库密码明文写在配置文件中，导致整个数据库沦陷。

3.2 漏洞复现步骤

首先确认目标是否开放了8009端口：

nmap -p 8009 target_ip

然后使用公开的POC脚本进行测试：

python CNVD-2020-10487.py -p 8009 -f WEB-INF/web.xml target_ip

如果漏洞存在，你将能看到web.xml文件的内容。更危险的是，如果网站有文件上传功能，攻击者可以结合文件包含实现远程代码执行。

3.3 全面防护建议

针对这个漏洞，我建议采取以下防护措施：

1. 升级Tomcat版本：9.0.31、8.5.51或7.0.100及以上版本已修复
2. 禁用AJP协议：如果不需要，直接在server.xml中注释掉AJP Connector
3. 网络隔离：限制8009端口的访问，只允许可信IP连接
4. 启用AJP认证：如果必须使用AJP，配置secret参数增加认证

4. CVE-2025-24813最新漏洞预警

4.1 漏洞背景分析

这是2025年最新曝出的Tomcat远程代码执行漏洞，影响范围非常广。根据我的分析，当同时满足以下条件时，漏洞可被利用：

• 启用了servlet写入功能（默认禁用）
• 使用Tomcat默认会话持久机制
• 依赖库存在反序列化利用链

这个漏洞的特别之处在于，它结合了多种技术实现RCE，攻击者不需要任何认证就能利用。

4.2 影响版本确认

受影响版本包括：

• Tomcat 11.0.0-M1到11.0.2
• Tomcat 10.1.0-M1到10.1.34
• Tomcat 9.0.0.M1到9.0.98

如果你使用的是这些版本，建议立即采取行动。我在内部测试中发现，这个漏洞可以被稳定利用，危害性极高。

4.3 应急处理方案

面对这个新漏洞，我建议按以下步骤处理：

1. 立即升级：升级到Tomcat 11.0.3、10.1.35或9.0.99
2. 检查配置：禁用不必要的servlet写入功能
3. 监控日志：关注是否有可疑的序列化数据请求
4. 应用WAF规则：临时拦截可疑的请求模式

5. 弱口令与war包部署漏洞

5.1 管理后台的安全风险

Tomcat的管理后台（/manager/html）是另一个常见攻击点。很多管理员会使用弱密码，甚至保留默认密码（tomcat:tomcat）。

我曾在一个客户系统中，只用10分钟就通过暴力破解进入了管理后台。进入后，攻击者可以直接上传war包部署恶意应用。

5.2 攻击过程演示

首先准备一个包含木马的war包：

jar -cvf shell.war shell.jsp

然后使用curl上传：

curl -u tomcat:tomcat -T shell.war "http://target:8080/manager/text/deploy?path=/shell"

上传成功后，访问/shell路径就能执行任意命令了。整个过程简单得令人担忧。

5.3 全面加固建议

要防范这类攻击，我建议：

1. 修改默认密码：使用强密码替换默认凭证
2. 限制访问：只允许特定IP访问管理后台
3. 禁用管理界面：生产环境建议完全禁用
4. 启用审计：记录所有管理操作

安全是一个持续的过程，不是一劳永逸的工作。我建议至少每季度进行一次全面的安全检查和加固。