Tomcat AJP协议漏洞分析与利用

0x01 漏洞基本信息

漏洞名称：Tomcat AJP协议漏洞

CVE编号：CVE-2020-1938

漏洞简介：2020年2月4日，Apache Tomcat官方发布了新的版本，该版本修复了一个影响所有版本（7.*、8.*、9.*）的文件包含漏洞，但官方暂未发布安全公告，2020年2月20日，CNVD发布了漏洞公告，对应漏洞编号：CNVD-2020-10487。漏洞是Tomcat AJP协议存在缺陷而导致，攻击者利用漏洞可以构造特定参数，读取服务器webapp/ROOT下的任意文件。若目标服务器同时存在文件上传功能，攻击者可进一步通过文件包含实现远程代码执行。目前，厂商已发布新版本完成漏洞修复。

漏洞影响范围：

Apache Tomcat 6

Apache Tomcat 7 < 7.0.100

Apache Tomcat 8 < 8.5.51

Apache Tomcat 9 < 9.0.31

0x02 漏洞起因

tomcat默认的conf/server.xml中配置了2个Connector，一个为8080的对外提供的HTTP协议端口，另外一个就是默认的8009 AJP协议端口，两个端口默认均监听在外网ip，如下图所示：

当tomcat服务启动后，查看端口可以发现8009端口已经处于监听状态：

tomcat在接收ajp请求的时候会调用org.apache.coyote.ajp.AjpProcessor来处理ajp消息，prepareRequest将ajp里面的内容取出来设置成request对象的Attribute属性，如下图：

因此可以通过这种特性，控制request对象的以下三个Attribute属性：

javax.servlet.include.request_uri

javax.servlet.include.path_info

javax.servlet.include.servlet_path

然后封装成对应的request之后,继续走servlet的映射流程，如下图所示:

具体的映射方式这里就不介绍了。

0x03 漏洞利用方式

1、利用DefaultServlet实现任意文件下载

当url请求未在映射的url列表里面，会通过tomcat默认的DefaultServlet，根据上面的三个属性来读取文件,如下图所示:

通过serveResource方法来获取资源文件：

通过getRelativePath来获取资源文件路径：

然后通过控制ajp控制的上述三个属性来读取文件,操控上述三个属性，从而可以读取到/WEB-INF下面的所有敏感文件，不限于class、xml、jar等文件。

2、通过jspservlet实现任意后缀文件包含

当url（比如http://xxx/xxx/xxx.jsp）请求映射在org.apache.jasper.servlet.JspServlet这个servlet的时候，也可以通过上述三个属性来控制访问的jsp文件,如下图所示:

控制路径之后就能以jsp解析该文件，所以只需要一个内容可控的文件即可实现rce。

0x04 AJP协议规范

0x05 漏洞利用环境

靶机：centos7+tomcat8.5.30

攻击机：win7+python3

0x06 漏洞利用过程

1、Tomcat版本检测

通常在Apache Tomcat官网下载的安装包名称中，会包含当前Tomcat的版本号，用户可通过查看解压后的文件夹名称，来确定当前的版本。比如：

如果解压后的Tomcat目录名称被修改过，或者通过Windows Service Installer方式安装，使用软件自带的version模块来获取当前的版本。进入Tomcat安装目录的bin目录，输入命令./version.sh后，可查看当前的软件版本号：

2、通过python脚本文件读取及文件包含进行RCE

公众号回复关键词 文件读取获取脚本地址

用法：python3 2020-10487.py 172.26.1.182 -f WEB-INF/web.xml

可以看到成功读取到了ROOT/WEB-INF下的web.xml文件（如果ROOT下存放了网站的源代码，就会被不法分子通过读取该源码，然后进行代码审计，导致其他漏洞的发生），web.xml文件：

文件包含进行RCE（实际环境中需要有上传点）：

因为是实验环境，并没有上传点，所以我们已经在webapp/ROOT下存放了一个名为exec.txt的文件，来模拟文件上传后的文件，然后包含该文件即可进行RCE。

exec.txt内容为执行“whoami”代码：

<%out.println(new java.io.BufferedReader(new java.io.InputStreamReader(Runtime.getRuntime().exec("whoami").getInputStream())).readLine());%>

用法：python3 CVE-2020-1938.py 172.26.1.182 -f exec.txt --rce 1

0x07 漏洞修复建议

临时禁用AJP协议端口：在conf/server.xml配置文件中注释掉117行的<Connector port="8009" protocol="AJP/1.3"redirectPort="8443" /> ，然后重启服务器。

再次进行文件读取就会抛出异常，修复成功：

点击进行实验