Tomcat Ghostcat - AJP协议漏洞DEBUG

环境

IntelliJ IDEA 2020.1 x64

tomcat-8.5.46

JRE1.8

配置

pom.xml

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">

    <modelVersion>4.0.</modelVersion>
    <groupId>org.apache.tomcat</groupId>
    <artifactId>Tomcat8.5.46</artifactId>
    <name>Tomcat8.5.46</name>
    <version>8.5</version>

    <build>
        <finalName>Tomcat8.</finalName>
        <sourceDirectory>java</sourceDirectory>
<!--        <testSourceDirectory>test</testSourceDirectory>    -->
        <resources>
            <resource>
                <directory>java</directory>
            </resource>
        </resources>
<!--        <testResources>    -->
<!--            <testResource>    -->
<!--                <directory>test</directory>    -->
<!--            </testResource>    -->
<!--        </testResources>    -->
        <plugins>
            <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-compiler-plugin</artifactId>
                <version>2.0.</version>    

                <configuration>
                    <encoding>UTF-</encoding>
                    <source>1.8</source>
                    <target>1.8</target>
                </configuration>
            </plugin>
        </plugins>
    </build>    

   <dependencies>
        <dependency>
            <groupId>org.easymock</groupId>
            <artifactId>easymock</artifactId>
            <version>3.5</version>
            <scope>test</scope>
        </dependency>  

        <dependency>
            <groupId>junit</groupId>
            <artifactId>junit</artifactId>
            <version>4.12</version>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>ant</groupId>
            <artifactId>ant</artifactId>
            <version>1.7.</version>
        </dependency>
        <dependency>
            <groupId>wsdl4j</groupId>
            <artifactId>wsdl4j</artifactId>
            <version>1.6.</version>
        </dependency>
        <dependency>
            <groupId>javax.xml</groupId>
            <artifactId>jaxrpc</artifactId>
            <version>1.1</version>
        </dependency>
        <dependency>
            <groupId>org.eclipse.jdt.core.compiler</groupId>
            <artifactId>ecj</artifactId>
            <version>4.6.</version>
        </dependency>
    </dependencies>
</project>

pom.xml

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">

    <modelVersion>4.0.0</modelVersion>
    <groupId>gxf</groupId>
    <artifactId>apache-tomcat-8</artifactId>
    <name>apache-tomcat-8-source</name>
    <version>1.0</version>
    <packaging>pom</packaging>
    <modules>
        <module>apache-tomcat-8.5.46-src</module>
    </modules>
</project>

pom.xml ->  Maven -> Reimport

Main class

org.apache.catalina.startup.Bootstrap

　

　

VM options

-Dcatalina.home=catalina-home -Dcatalina.base=catalina-home -Djava.endorsed.dirs=catalina-home/endorsed -Djava.io.tmpdir=catalina-home/temp -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djava.util.logging.config.file=catalina-home/conf/logging.properties

　

将JSP解析器初始化:

  context.addServletContainerInitializer(new JasperInitializer(),null);

　　

IDEA 快捷键 功能描述

F8 单步调试，不进入函数内部
F7 单步调试，进入函数内部
Shift+F7 选择要进入的函数
Shift+F8 跳出函数
Alt+F9 运行到断点
Alt+F8 执行表达式查看结果
F9 继续执行，进入下一个断点或执行完程序
Ctrl+F8 设置/取消当前行断点
Ctrl+Shift+F8 查看断点

Tomcat中Servlet的配置是在conf/web.xml。Tomcat默认配置定义了两个servlet，分别为DefaultServlet和JspServlet：

当请求.*.jsp *.jspx 会以JspServlet 执行 （文件包含漏洞利用）

当请求 xxxx 会以 DefaultServlet 执行   （文件读取漏洞利用）

POC：

通过  prepareRequest 解析请求

经过3次循环，依次将 javax.servlet.include.request_uri      javax.servlet.include.path_info    javax.servlet.include.servlet_path 放入request对象

执行

不能读取除了webapps 目录下文件的原因

如果含有./ ../ 就会返回为null

POC中还有个关键参数req_uri，这个参数的设置决定了我们可以读取webapps下其他目录的文件。设置其值为一个随意字符串'asdf',一来是无法匹配到webapps下的路径，走tomcat默认的ROOT目录；

二来是为了让tomcat将请求流到DefaultServlet，从而触发漏洞。当请求读取WEB-INF/web.xml文件，则读取的就是webapps/ROOT/WEB-INF/目录下的web.xml。

修改POC req_uri 请求，为 /manager/0xdd   javax.servlet.include.path_info 为要读取的文件名

文件包含漏洞 req_uri 请求为 xxx.jsp 即可，就可以走Jspservlet

<%
String []cmdArray = new String[]{ "/bin/sh", "-c", "echo `whoami`" + " > ./webapps/ROOT/ok.txt"};
 Runtime.getRuntime().exec(cmdArray);
%>