本文详细描述了ApacheTomcat中的CVE-2017-5648漏洞，涉及错误资源请求处理中的安全问题。漏洞利用条件、复现步骤以及修复建议包括升级版本、web.xml配置和更改错误页面格式。安全工程师需注意保护Web应用免受此类攻击。
0x01 概述
Apache Tomcat是一个开源的Java Servlet容器和JavaServer Pages（JSP）容器。它是由Apache软件基金会开发和维护的，是一个轻量级、快速、可扩展的Web服务器，用于执行Java Servlet和JavaServer Pages技术。
Tomcat是一个独立的服务器，它可以用作Java应用程序的Web服务器，也可以作为Servlet容器集成到其他Web服务器（例如Apache HTTP服务器）中。它可以处理HTTP请求，并将它们传递给相应的Servlet或JSP进行处理，然后将结果返回给客户端。
Tomcat提供了许多功能，包括连接池、会话管理、安全性、Web应用程序部署、负载均衡等。它是Java企业级Web应用程序的常用部署环境，广泛用于开发和部署Java Web应用程序和服务。
笔者通过对数百个真实项目引入组件的分析选出了Tomcat组件的常见漏洞进行分析。本次分析的是CVE-2017-5648。该漏洞是Tomcat-catalina组件处理访问错误资源请求时，如404，500，此时若服务器存在自定义的错误页面则会将请求交给DefaultServlet处理，从而可能导致错误页面被重写。
0x02 组件使用场景
Tomcat-catalina组件负责处理HTTP请求、响应、会话管理、Servlet容器、连接池、线程池等核心功能，是Tomcat服务器的核心引擎。
0x03 漏洞信息
3.1 漏洞简介</
最低0.47元/天 解锁文章
扫一扫
5270
到【灌水乐园】发言
