Apache Tomcat AJP协议文件读取与包含

永远也不要忘记能够笑的坚强，就算受伤，我也从不彷徨。

0x01.漏洞情况分析

Tomcat是Apache软件基金会Jakarta 项目中的一个核心项目，作为目前比较流行的Web应用服务器，深受Java爱好者的喜爱，并得到了部分软件开发商的认可。Tomcat服务器是一个免费的开放源代码的Web应用服务器，被普遍使用在轻量级Web应用服务的构架中。
Apache Tomcat会开启AJP连接器,方便与其他Web服务器通过AJP协议进行交互。而该漏洞是由于Tomcat AJP协议存在缺陷而导致，攻击者可通过构造特定参数读取webapp目录下的任意文件。

0x02.漏洞影响范围

漏洞影响的产品版本包括：
Apache Tomcat = 6
Apache Tomcat 7 < 7.0.100
Apache Tomcat 8 < 8.5.51
Apache Tomcat 9 < 9.0.31
CNVD平台对Apache Tomcat AJP协议在我国境内的分布情况进行统计，结果显示我国境内的IP数量约为55.5万，通过技术检测发现我国境内共有43197台服务器受此漏洞影响，影响比例约为7.8%。

0x03.漏洞复现

1.漏洞URL：
http://x.x.x.x/
2. po