Tomcat 远程代码执行漏洞分析（CVE-2017-12615）

最新推荐文章于 2025-06-30 15:03:43 发布

fly小灰灰

最新推荐文章于 2025-06-30 15:03:43 发布

阅读量7.1k

点赞数 3

CC 4.0 BY-SA版权

分类专栏：漏洞文章标签：漏洞 tomcat 命令执行

本文链接：https://blog.youkuaiyun.com/yaofeiNO1/article/details/78459645

本文深入分析了Apache Tomcat的CVE-2017-12615漏洞，当readonly参数设置为false时，攻击者可上传恶意JSP文件执行任意代码。该漏洞影响7.0.0到7.0.81版本。修复方案包括升级到Tomcat 8及以上版本或设置readonly为true。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Tomcat

1. 漏洞描述

漏洞简述：当tomcat启用了HTTP PUT请求方法（例如，将 readonly 初始化参数由默认值设置为 false），攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 文件，JSP文件中的恶意代码将能被服务器执行。导致服务器上的数据泄露或获取服务器权限。
CVE编号：CVE-2017-12615
影响版本：Apache Tomcat 7.0.0-Apache Tomcat 7.0.81

2. 漏洞简介

??2017年9月19日，Apache Tomcat官方确认并修复了两个高危漏洞，漏洞CVE编号:CVE-2017-12615和CVE-2017-12616,该漏洞受影响版本为7.0-7.81之间，官方评级为高危，在一定条件下，攻击者可以利用这两个漏洞，获取用户服务器上 JSP 文件的源代码，或是通过精心构造的攻击请求，向用户服务器上传恶意JSP文件，通过上传的 JSP 文件，可在用户服务器上执行任意代码，从而导致数据泄露或获取服务器权限，存在高安全风险。

3. 漏洞分析

注：漏洞触发条件

? CVE-2017-12615漏洞利用需要将 readonly 初始化参数由默认值设置为 false，经过实际测试，Tomcat 7.x版本内web.xml配置文件内默认配置无readonly参数，需要手工添加，默认配置条件下不受此漏洞影响。

? Apache Tomcat默认开启PUT方法，org.apache.catalina.servlets.DefaultServlet的readonly默认为true，而且默认没有在conf/web.xml里写，需要手工添加并且改为false，才可以测试。

? 主要在conf文件夹的web.xml文件中添加readonly参数并设置值为false：

<init-param>
    <param-name>readonly</param-name>
    <param-value>false</param-value>
</init-param>

3.1 漏洞原理分析

? 设置好web.xml文件中的参数，重启tomcat。创建一个简单的JAVA Web工程，通过该tomcat进行发布，用eclipse在tomcat源码中设置断点进行debug调试。

? 在浏览器中访问工程，通过burpsuite进行抓包，构造恶意payload进行攻击：

Tomcat

? 点击go进行数据包转发，在eclipse中设置断点，可以看到首先进入HttpServlet.java文件的doput方法。

<!-- The mapping for the default servlet -->
<servlet-mapping>
    <servlet-name>default</servlet-

最低0.47元/天解锁文章

200万优质内容无限畅学