Apache Tomcat Ajp-CVE-2020-1938漏洞复现

环境搭建：

sudo docker pull duonghuuphuc/tomcat-8.5.32

sudo docker run -d -it -p 8080:8080 -p 8009:8009   --name ghostcat duonghuuphuc/tomcat-8.5.32

tomcat调试：

export JAVA_OPTS='-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005'

漏洞复现：

任意文件读取

任意文件包含

请求存在的jsp使其包含指定的文件中的jsp代码

实际上根据不同的匹配将由不同的serverlet进行处理

漏洞分析:

这里根据网上的exp来分析一下:

首先去去github看看是啥时候commit修复的该漏洞

可以确定2月5号已经修复该问题了，点进去看看修复点

可以看到这里把原先的监听外网，改为监听本地地址了，根据网上的资料可以看到实际上攻击过程主要控制以下三个属性，发送的消息如果包含着三个值，那么serverlet将根据三个值属性进行request请求的改造，而这三个值都可以直接加到ajp数据包中

从修改的文件中大致可以推断到处理ajp消息的文件，进去看看

其中AjpProcessor.java中定义了处理jsp数据包中attributes中的逻辑，可以看到在处理attr属性时else了一条set，那么如果n，v可控就可以注入属性了

实际上上面的设置属性是在prepareRequest函数中，处理完后将调用getAdapter继续之后的请求过程，即匹配serverlet了

文件包含

org/apache/jasper/servlet/JspServlet.java

实际上这里文件包含只需要用到这两个属性即可，当然前提是匹配到存在的jsp文件，例如请求index.jsp

文件读取:

直接双shift找到defaultserverlet，在doget方法中通过getRelaticePath拿到请求的路径

这里将通过设置的属性来获取最重要读取的文件属性，这里需要同时设置这三个属性才可以，因为此时请求路径不存在，所以就从属性中取路径了，只要求该属性不为null即可，并重新定义要读取的文件

之后经过处理将这两个属性拼接并返回，即serverlet_path/path_info，之后就读取文件资源

看一下git上的ajp的一个demo

这里调用完end以后就构造完数据包，接下来就发包了，所以要改一下end函数

这里结束字节是0XFF，所以要在该字节前面插入

抓包可以看到ajp协议的通信过程

可以清楚看到所加入的属性值，都是明文，加入位置也可以清楚看到

总结：

任意文件读取和任意文件包含范围：

webapps目录下的文件，默认的exp只能读取webapps/ROOT下的文件

任意包含只需要：

1.请求存在的jsp

2.pathinfo和serverlet_path两个属性执行包含的文件

任意文件读取：

1.请求不存在的文件

2.request_uri属性必须存在，值可为任意

3.pathinfo和serverlet_path组合对应文件路径

修复：

1.若不需要使用Tomcat AJP协议，可直接关闭AJP Connector，或将其监听地址改为仅监听本机localhost。

监听本地：

    <Connector protocol="AJP/1.3"
               address="::1"
               port=""
               redirectPort="" />

此时重启tomcat即测试不成功

2.增加ajp connector密钥认证方式

tomcat version7 version9

<Connector port="" protocol="AJP/1.3" redirectPort="" address="YOUR_TOMCAT_IP_ADDRESS" secret="YOUR_TOMCAT_AJP_SECRET"/>

tomcat version8

tips：

影响范围：

Apache Software Foundation Tomcat 6.*

Apache Software Foundation Tomcat 7.0.0 - 7.0.99

Apache Software Foundation Tomcat 8.0.0 - 8.5.50

Apache Software Foundation Tomcat 9.0.0 - 9.0.30

poc地址：

https://github.com/0nise/CVE-2020-1938

参考：

https://blog.csdn.net/yiqiushi4748/article/details/104428847

https://mp.weixin.qq.com/s?__biz=MzI4NjE2NjgxMQ==&mid=2650241245&idx=1&sn=2ca66d99fafb82b17b9023e65a143d63&chksm=f3e2c2a9c4954bbfa58ed15d4647eab743d79375eb51853ab2aecacf5f5c85b862f91cc0d685&mpshare=1&scene=23&srcid=&sharer_sharetime=1582366241817&sharer_shareid=ae6683d6c0e7df9a0b7c15e7cacf6b3c#rd

https://blog.csdn.net/wangchengsi/article/details/2973012 coyote框架

https://youmeek.gitbooks.io/intellij-idea-tutorial/content/remote-debugging.html idea之旅

https://xz.aliyun.com/t/7325 先知讲tomcat的，还行