tomcat漏洞学习——CVE-2017-12615 （Tomcat任意写入文件漏洞）

已于 2023-08-17 13:21:15 修改
阅读量1k 收藏 15
点赞数 14
分类专栏： 漏洞学习 文章标签： 学习 tomcat漏洞复现
于 2022-05-05 11:41:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-NC-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/xiaofengdada/article/details/124582646
版权
本文详细介绍了Tomcat的CVE-2017-12615漏洞，包括漏洞概述、影响版本、原理分析和复现步骤。通过手动验证和利用exploit，展示了如何利用该漏洞进行文件上传，以及如何通过工具进行检测。警告读者不要用于非法活动。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

警告

请勿使用本文提到的内容违反法律。
本文不提供任何担保

目录

警告

一、概述

二、影响版本

三、漏洞原理

四、环境搭建

五、 漏洞复现

（一）手动验证复现

1.首先抓包，验证jsp文件：

2.发现404页面，换成txt文件，发现可以的：

3.根据源码，只要在jsp小马后面加一个/,就可以上传成功：

4.小马利用:

​（二）exp验证复现

​（三）工具检测

一、概述

        tomcat的配置具有可写权限，因此可以利用put方法上传任意文件。但是tomcat对上传的文件尾部有检测，所以可以用/来绕过，如 /shell.jsp/，当存在漏洞的Tomcat运行在Windows/Linux主机上， 且启用了HTTP PUT请求方法例如:将readonly初始化参数由默认值设置为false， 攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的JSP的webshell文件，JSP文件中的恶意代码将能被服务器执行， 导致服务器上的数据泄露或获取服务器权限。

二、影响版本

        Apache Tomcat 7.0.0 - 7.0.81

了解本专栏 订阅专栏 解锁全文 超级会员免费看
【漏洞复现】Apache Tomcat 远程代码执行（CVE-2025-24813）
李火火的安全圈
03-28 419
Apache Tomcat 是一个开源的、轻量级的 Java Servlet 容器和 Web 服务器，由Apache软件基金会开发和维护，支持运行 Java Servlet、JavaServer Pages (JSP) 和其他基于 Java 的 Web 应用程序，广泛用于开发和部署企业级 Web 应用。
Tomcat写入文件漏洞 ——CVE-2017-12615漏洞
weixin_57379923的博客
08-08 469
当 Tomcat 运行在 Windows 主机上，启用了 HTTP PUT 请求方法，可以通过构造请求向服务器上传包含任意代码的 JSP 文件，导致 JSP 文件中的代码能够被服务器执行。
Tomcat任意文件写入(CVE-2017-12615)漏洞复现
weixin_45540609的博客
07-28 2178
一、漏洞原理 影响范围：pache Tomcat7.0.0-7.0.81（默认配置） 如果配置了默认servlet，则在9.0.1（Beta），8.5.23，8.0.47和7.0.82之前的所有Tomcat版本都包含所有操作系统上的潜在危险的远程执行代码（RCE）漏洞，CVE-2017-12615：远程代码执行漏洞。只需参数readonly设置为false或者使用参数readonly设置启用WebDAV servlet false。此配置将允许任何未经身份验证的用户上传文件（如WebDAV中所使用的）.
BUUCTF-Real-[Tomcat]CVE-2017-12615
分享
02-07 1565
CVE-2017-12615漏洞复现！只写了Linux版本的！
[CVE-2017-12615]Tomcat任意文件上传漏洞实现
dream51234的博客
03-27 430
(可用ls查看文件夹中，pwd查看目录，cat查看文件,-h查看该命令帮助，history查看历史命令，history|grep ""查看含xxx的命令）查看docker-compose 版本：docker-compose -v。建立docker-compose:docker-compose up -d。查看docker版本：docker-compose -v。查看docker-compose版本：docker-compose -v。虚拟机左上角-编辑-虚拟网络编辑器修改网络设置。
图片服务器
whinsist的专栏
07-05 307
1.图片服务器源码 2.图片服务器tomcat配置（tomcat/config/web.xml）         default         org.apache.catalina.servlets.DefaultServlet                     debug             0
Apache Tomcat RCE漏洞复现（CVE-2025-24813）
weixin_55010563的博客
03-15 975
使用 partial PUT 请求将恶意的序列化数据写入到会话文件中，在开启文件会话持久化（默认存储位置），并且在文件上传未完成的情况下，内容会被临时存储在 Tomcat 的工作目录work\Catalina\localhost\ROOT。尝试使用 Tomcat 9.0.98 版本复现：https://archive.apache.org/dist/tomcat/tomcat-9/v9.0.98/bin/apache-tomcat-9.0.98.zip。
Goby 漏洞安全通告｜ Apache Tomcat 远程命令执行(CVE-2025-24813)
m0_46699477的博客
03-12 2075
Apache Tomcat 是一个开源的 Java Servlet 容器，广泛用于运行基于 Java 的 Web 应用程序。该漏洞（CVE-2025-24813）允许远程攻击者通过特定的恶意请求在目标系统上执行任意命令，从而完全控制受影响的服务器。 满足以下条件，攻击者可以远程代码执行（RCE）： 1. DefaultServlet 启用了写入权限（默认情况下禁用）。 2. 服务器启用了partial PUT（默认启用）。 3. Tomcat 使用了基于文件的 Session 持久化机制（非默认配置，默认为
Apache Tomcat 远程代码执行漏洞(CVE-2025-24813) 超详细！
欢迎来到我的博客，这里是我分享Python开发心得与信息安全探索的乐园。作为一名热衷于编程与安全的技术爱好者，我始终致力于在Python的世界里深耕细作，探索其强大的功能与无限的可能性。同时，信息安全也是我关注的重点，我深知在这个数字化时代，保护数据安全的
03-14 7831
远程代码执行漏洞(CVE-2025-24813)源于 Apache Tomcat 的反序列化机制未对用户输入进行严格验证，攻击者可通过构造恶意序列化对象绕过安全限制，处理部分 PUT 请求时，攻击者利用临时文件路径处理中的缺陷（将路径分隔符"/"替换为“.”），通过特定条件（如启用默认 servlet 的写入功能）实现远程代码执行并控制服务器‌。‌将 Apache Tomcat 升级至安全版本（Tomcat 11.0.2+、10.1.34+、9.0.98+），以修复反序列化漏洞及 PUT 请求处理缺陷‌。
Tomcat 任意写入文件漏洞（CVE-2017-12615）
ANOrange的博客
03-29 562
Tomcat 任意写入文件漏洞（CVE-2017-12615）漏洞复现
Tomcat PUT方法任意写文件漏洞（CVE-2017-12615）
weixin_45653478的博客
05-02 1878
在Apache Tomcat服务器中，PUT方法通常用于上传文件。攻击者可以通过发送PUT请求，将恶意文件上传到服务器。当攻击者发送PUT请求时，Tomcat服务器会将请求中的数据写入指定的文件。如果攻击者能够控制文件路径，那么他们可以将恶意文件写入任意位置，从而实现任意文件写入。
CVE-2021-41773&&CVE-2021-42013复现
weixin_42345596的博客
10-09 5056
CVE-2021-41773 漏洞原理 Apache HTTP Server 是 Apache 基础开放的流行的 HTTP 服务器。在其 2.4.49 版本中，引入了一个路径体验，满足下面两个条件的 Apache 服务器将受到影响： 版本等于2.4.49 <Directory />Require all granted</Directory>（默认情况下是允许被访问的）。 攻击者利用这个漏洞，可以读取到Apache服务器Web目录以外的其他文件，或者读取Web中的脚本源码，或者在
Tomcat RCE（CVE-2025-24813）复现
Neolock的博客
03-21 2521
它由 Apache 软件基金会下的 Jakarta 项目开发，是目前最流行的 Java Web 服务器之一。这里需要注意Content-Range的分块值需要与Content-Length保持一致，且大于当前文件的长度。我们都知道tomcat是Java语言开发的，所以需要JAVA环境，我这里的Java环境是1.8.0_441。当文件被上传成功后，大概30s之内payload会被自动触发，随之文件会被清除。
Apache Tomcat 远程代码执行漏洞(CVE-2025-24813)修复方案
拉丁解牛技术专栏
03-11 1519
它实现了Java Servlet和JavaServer Pages (JSP) 技术，提供了一个运行环境来处理HTTP请求、生成动态网页，并支持WebSocket通信。，当应用程序启用servlet写入功能（默认情况下禁用）、使用 Tomcat默认会话持久机制和存储位置、依赖库存在反序列化利用链时，未授权攻击者能够执行恶意代码获取服务器权限。近日，2025年3月11日，奇安信 CERT发布安全风险通告，奇安信CERT监测到官方修复。
0day 收银台小程序系统存在前台SQL注入漏洞
ZeroDay001的博客
11-15 490
微信公众号程序，必须微信认证服务号，微信支付商家客户扫码，打开商家定义支付页面，输入金额和对应定义信息，提交微信支付，实现快速付款支持创建多个店铺，各个店铺自定义不同自定义表单。通过自定义表单实现订单自定义明细通过店铺自定义表单可以轻松建立，快捷收款、微信收银台、面对面收款、商品预约预订等扫码微信支付， 提升客户服务体验，商户快速获得精准订单数据，实现账款统计。通过打开自定义的表单页面，输入自定义的指定信息，可以实现订单收款。
【安全漏洞】CVE-2025-24813
宣晨光
03-12 1052
Apache Tomcat远程代码执行漏洞（CVE-2025-24813）是一个严重的安全问题，它允许攻击者在特定条件下上传恶意Session文件并执行远程代码。以下是关于此漏洞的详细信息和建议的应对措施。
CVE-2025-24813 漏洞全解析｜Apache Tomcat 关键路径绕过与RCE
syg6921008的博客
04-06 3389
是 Apache Tomcat 中一个关键的路径等效性（Path Equivalence）漏洞，允许未经身份验证的远程攻击者在特定配置下实现远程代码执行（RCE）、读取敏感文件，甚至篡改文件内容。该漏洞已在野外被观察到存在实际利用行为，影响范围广泛。CVE-2025-24813 是一次典型的“路径+反序列化+配置缺陷”复合型漏洞，表面上源于文件路径处理缺陷，实际利用则依赖于多个错误配置的叠加效应。边界可信假设失效、中间件权限设置失误、反序列化引擎暴露等老问题，在现代系统中依旧构成致命威胁。
Tomcat Session 反序列化漏洞（CVE-2025-24813）
玄道的网安博客
03-14 1348
核心逻辑在这里，以 range.length作为文件的长度，range.start作为起始点开始处理流，这也是为什么 length 必须要大于 body 的总长度，不然无法将内容完全上传。这部分是反序列化触发点，CVE-2020-9484出自这里，所以不难看出这其实是一个组合漏洞，当时CVE-2020-9484是因为存在目录穿越问题所以可以穿越加载一个自定义的序列化文件。CVE-2017-12615、CVE-2024-50379均涉及该方法，也就是 doPUT，其实逻辑很简单，如以下代码。
【漏洞复现】CVE-2025-24813：Apache Tomcat 远程代码执行漏洞
最新发布
网络安全相关技术分享
04-07 889
Tomcat 在特定配置下存在反序列化漏洞。攻击者可通过构造恶意请求，利用文件会话持久化机制将恶意序列化数据写入服务器，并在后续请求中触发反序列化操作，从而导致远程代码执行。
cve-2017-12615
02-28
### CVE-2017-12615 漏洞详情 CVE-2017-12615 是一个影响 Apache Tomcat 的安全漏洞，允许攻击者通过特定条件下的 HTTP 请求上传任意文件到服务器上。此漏洞存在于启用了 PUT 方法的情况下，并且当 web 应用程序配置为自动创建目录时会被触发[^1]。 具体来说，在受影响版本中，默认情况下 WebDAV 被禁用，但如果管理员手动启用并错误地配置了该功能，则可能导致未经授权的文件写入操作。这使得远程未经身份验证的攻击者能够向目标主机放置恶意脚本或其他类型的可执行文件，从而可能获得对系统的完全控制权。 #### 影响范围 - **Apache Tomcat 版本**: 7.0.0 至 7.0.81, 8.0.0.RC1 至 8.0.43, 8.5.0 至 8.5.15 为了防止此类攻击的发生，官方建议采取以下措施来修补这个严重的缺陷： ### 修复方案 1. **更新至最新稳定版** 推荐的做法是尽快升级到不受影响的新版本软件包。对于不同分支而言： - 对于 7.x 系列，请至少升級到 7.0.82 或更高； - 对于 8.0.x 系列，请至少升級到 8.0.44 或更高； - 对于 8.5.x 系列，请至少升級到 8.5.16 或更高； 2. **禁用不必要的HTTP方法** 如果应用程序不需要支持PUT请求，可以通过修改`$CATALINA_BASE/conf/web.xml` 文件内的 `<servlet>` 配置项来关闭这些不常用的方法。例如: ```xml <init-param> <param-name>readonly</param-name> <param-value>true</param-value> </init-param> ``` 3. **限制Web应用权限** 修改Tomcat安装目录下 `conf/context.xml`, 设置适当的访问控制策略以确保只有授权用户才能执行敏感的操作。可以考虑设置如下参数： ```xml <Context privileged="false"> <!-- Other settings --> </Context> ``` 以上就是关于 CVE-2017-12615 的详细介绍以及相应的缓解措施。
评论 19
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

xiaochuhe--kaishui

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值