如何解析Apache Tomcat文件包含CVE-2020-1938漏洞復現

如何解析Apache Tomcat文件包含CVE-2020-1938漏洞復現

引言

Apache Tomcat是一個廣泛使用的開源Java Servlet容器，用于運行Java Web應用程序。然而，2020年2月，Apache Tomcat被發現存在一個嚴重的安全漏洞，編號為CVE-2020-1938。該漏洞允許攻擊者通過AJP協議進行文件包含攻擊，可能導致敏感信息泄露或遠程代碼執行。本文將詳細解析該漏洞的原理、影響范圍以及如何復現該漏洞。

漏洞概述

CVE-2020-1938漏洞簡介

CVE-2020-1938漏洞主要影響Apache Tomcat的AJP（Apache JServ Protocol）協議。AJP協議是Tomcat與Web服務器（如Apache HTTP Server）之間進行通信的協議。該漏洞允許攻擊者通過AJP協議發送惡意請求，繞過安全限制，讀取或包含服務器上的任意文件。

影響范圍

該漏洞影響以下版本的Apache Tomcat：

• Apache Tomcat 9.x < 9.0.31
• Apache Tomcat 8.x < 8.5.51
• Apache Tomcat 7.x < 7.0.100
• Apache Tomcat 6.x < 6.0.53

漏洞原理

AJP協議簡介

AJP協議是Tomcat與Web服務器之間進行通信的二進制協議。它允許Web服務器將請求轉發給Tomcat，并將Tomcat的響應返回給客戶端。AJP協議通常用于提高性能，特別是在高負載環境下。

漏洞成因

CVE-2020-1938漏洞的成因在于Tomcat在處理AJP請求時，未對請求中的文件路徑進行充分驗證。攻擊者可以通過構造惡意的AJP請求，指定服務器上的任意文件路徑，從而讀取或包含這些文件。

具體來說，攻擊者可以通過AJP協議的javax.servlet.include.request_uri和javax.servlet.include.path_info屬性，指定要包含的文件路徑。由于Tomcat未對這些路徑進行嚴格的驗證，攻擊者可以利用這一點讀取服務器上的敏感文件，如WEB-INF/web.xml、WEB-INF/classes目錄下的Java類文件等。

漏洞復現

環境準備

為了復現CVE-2020-1938漏洞，我們需要準備以下環境：

1. Apache Tomcat 9.0.30：這是受漏洞影響的版本之一。
2. AJP Connector：確保Tomcat配置中啟用了AJP連接器。
3. 攻擊工具：可以使用ajpShooter或ajpfuzzer等工具進行漏洞利用。

復現步驟

步驟1：安裝并配置Apache Tomcat

1. 下載并安裝Apache Tomcat 9.0.30。
2. 確保conf/server.xml文件中啟用了AJP連接器，配置如下：

   <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />

1. 啟動Tomcat服務器。

步驟2：使用攻擊工具發送惡意AJP請求

1. 下載并安裝ajpShooter工具。
2. 使用以下命令發送惡意AJP請求：

   python ajpShooter.py http://localhost:8009 /WEB-INF/web.xml

該命令嘗試讀取Tomcat服務器上的WEB-INF/web.xml文件。

步驟3：驗證漏洞

如果漏洞存在，攻擊工具將成功讀取WEB-INF/web.xml文件的內容，并將其輸出到終端。這表明攻擊者可以利用該漏洞讀取服務器上的敏感文件。

漏洞修復

為了防止CVE-2020-1938漏洞的利用，建議采取以下措施：

1. 升級Tomcat版本：升級到不受漏洞影響的版本，如Tomcat 9.0.31、8.5.51、7.0.100或6.0.53。
2. 禁用AJP連接器：如果不需要使用AJP協議，可以在conf/server.xml文件中禁用AJP連接器。
3. 配置防火墻：限制對AJP端口（默認8009）的訪問，只允許受信任的IP地址訪問。

結論

CVE-2020-1938漏洞是一個嚴重的安全漏洞，允許攻擊者通過AJP協議讀取或包含服務器上的任意文件。本文詳細解析了該漏洞的原理、影響范圍以及如何復現該漏洞。為了防止該漏洞的利用，建議及時升級Tomcat版本或禁用AJP連接器。通過采取適當的安全措施，可以有效保護Tomcat服務器免受此類攻擊。

參考

• CVE-2020-1938漏洞公告
• Apache Tomcat官方安全公告
• ajpShooter工具