CVE-2020-1938 ：Apache Tomcat AJP 漏洞复现和分析

2022-08-11 21:27:53

漏洞说明

APache Tomcat 是有Apache软件基金会属下Jakarta项目开发的Servlet容器.默认情况下,Apache Tomcat会开启AJP连接器,方便与其他Web服务器通过AJP协议进行交互.但Apache Tomcat在AJP协议的实现上存在漏洞,导致攻击者可以通过发送恶意的AJP请求,可以读取或者包含Web应用根目录下的任意文件,如果配合文件上传任意格式文件，将可能导致任意代码执行(RCE).该漏洞利用AJP服务端口实现攻击,未开启AJP服务对外不受漏洞影响（tomcat默认将AJP服务开启并绑定至0.0.0.0/0）。

漏洞影响范围

Apache Tomcat 9.x < 9.0.31

Apache Tomcat 8.x < 8.5.51

Apache Tomcat 7.x < 7.0.100

Apache Tomcat 6.x

漏洞原理及危害

Tomcat 配置了两个Connecto，它们分别是 HTTP 和 AJP ：HTTP默认端口为8080，处理http请求，而AJP默认端口8009，用于处理 AJP 协议的请求，而AJP比http更加优化，多用于反向、集群等，漏洞由于Tomcat AJP协议存在缺陷而导致，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件以及可以包含任意文件，如果有某上传点，上传图片马等等，即可以获取shell。危害是攻击者可以读取 Tomcat所有 webapp目录下的任意文件。此外如果网站应用提供文件上传的功能，攻击者可以先向服务端上传一个内容含有恶意 JSP 脚本代码的文件（上传的文件本身可以是任意类型的文件，比如图片、纯文本文件等），然后利用 Ghostcat 漏洞进行文件包含，从而达到代码执行的危害。

环境搭建

目标机win7（IP）：192.168.91.132

攻击机kali（IP）：192.168.91.128

Tomcat版本：8.5.32

Tomact下载链接：http://archive.apache.org/dist/tomcat/

（1）windows下漏洞复现环境准备，这里以tomcat-8.5.32为例。

https://github.com/backlion/CVE-2020-1938/blob/master/apache-tomcat-8.5.32.zip

（2）安装jdk并配置JDK环境

（3）然后启动tomcat，点击tomcat目录/bin 文件夹下的startup.bat

查看tomcat是否部署

漏洞利用

主机发现

端口扫描

下载读取文件的POC

链接：https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi

输入参数并执行

可以看到已经成功读取了文章信息

漏洞分析

漏洞成因分析

Tomcat默认的conf/server.xml中配置了2个Connector，一个为8080的对外提供的HTTP协议端口，另外一个就是默认的8009 AJP协议端口，两个端口默认均监听在外网ip。

tomcat在接收ajp请求的时候调用org.apache.coyote.ajp.AjpProcessor来处理ajp消息，prepareRequest将ajp里面的内容取出来设置成request对象的Attribute属性

如下图：

因此可以通过此种特性从而可以控制request对象的下面三个Attribute属性

javax.servlet.include.request_uri

javax.servlet.include.path_info

javax.servlet.include.servlet_path

然后封装成对应的request之后,继续走servlet的映射流程如下图所示:

其中具体的映射方式就简略了，具体可以自己查看代码.

利用方式:

利用DefaultServlet实现任意文件下载

当url请求未在映射的url列表里面则会通过tomcat默认的DefaultServlet会根据上面的三个属性来读取文件,如下图

通过serveResource方法来获取资源文件

通过getRelativePath来获取资源文件路径

然后再通过控制ajp控制的上述三个属性来读取文件,通过操控上述三个属性从而可以读取到/WEB-INF下面的所有敏感文件，不限于class、xml、jar等文件。

防御措施
禁用AJP协议，在tomcat安装路径中找到/conf/server.xml文件，删除或注释下面这行代码：<Connector port="8009"protocol="AJP/1.3" redirectPort="8443" />

2.配置secret来设置AJP协议的认证凭证，如：<Connector port="8009"protocol="AJP/1.3" redirectPort="8443"address="YOUR_TOMCAT_IP_ADDRESS" secret="YOUR_TOMCAT_AJP_SECRET"/>

3. 升级到tomcat最新版本，

https://tomcat.apache.org/download-80.cgi

https://tomcat.apache.org/download-90.cgi

https://github.com/apache/tomcat/releases

参考链接：

https://blog.csdn.net/xixi_5418/article/details/105063614

https://www.cnblogs.com/backlion/p/12870365.html

CVE-2020-1938 ：Apache Tomcat AJP 漏洞复现和分析

码农公寓

相关文章