如何进行Apache Tomcat远程命令执行漏洞利用的入侵检测

如何进行Apache Tomcat远程命令执行漏洞利用的入侵检测，针对这个问题，这篇文章详细介绍了相对应的分析和解答，希望可以帮助更多想解决这个问题的小伙伴找到更简单易行的方法。1.漏洞简介当 Tomcat运行在Windows操作系统时，且启用了HTTP PUT请求方法（例如，将 readonly 初始化参数由默认值设置为 false），攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 文件，JSP文件中的恶意代码将能被服务器执行。导致服务器上的数据泄露或获取服务器权限。影响范围Apache Tomcat 7.0.0 – 7.0.812.漏洞分析2.1环境介绍服务端 Windows7 IP: 192.168.116.128攻击端 Kali LinuxIP:192.168.116.137Apache Tomcat 7.0.792.2.实验环境搭建2.2.1 java环境安装
1.官网下载jdk安装包http://www.oracle.com/technet免费云主机域名work/java/javase/downloads/index.html2.根据提示安装jdk

3.配置路径，我的电脑->属性->高级系统设置->环境变量->ath 添加jdk和jre路径
4.配置成功后如图：

2.2.2 Apache Tomcat安装1．下载地址：http://www.liangchan.net/soft/download.asp?softid=9366&downid=8&id=94302.按照步骤提示，安装
3.安装成功后，访问http://127.0.0.1:8080

2.2.3 配置Apache Tomcat服务器1．打开Tomcat安装目录的Tomcat7.0confweb.xml添加如下配置，在Tomcat7.0版本下默认配置是开启readonly的，需要手动配置readonly为false才可以进行漏洞利用

2.3 漏洞利用
2.3.1 远程命令执行漏洞利用
1.利用PUT方法上传构造好的shell

查看服务器上已经存在test.jsp

在构造上传方法时有三种PUT /test.jsp%20PUT /test.jsp/通过构造特殊的后缀来绕过，Tomcat的检测，将jsp的shell上传到服务器中。2.利用上传的shell来进行命令执行

攻击成功。2.3.2 漏洞主要攻击特征1.攻击方法 PUT2.主要攻击方法 .jsp:DATA .jsp%20 .jsp/3．入侵检测规则编写3.1 CVE-2017-12615漏洞入侵检测规则alert tcp any any -> any any (msg:” CVE-2017-12615″;flow:to_server,established;content:”UT”;nocase;content:”.jsp/”;nocase;reference:cve,2017-12615;sid:2000015;rev:1;)alert tcp any any -> any any (msg:”CVE-2017-12615″;flow:to_server,established;content:”UT”;nocase;content:”.jsp:DATA”;nocase;reference:cve,2017-12615;sid:2000015;rev:1;)alert tcp any any -> any any (msg:”CVE-2017-12615″;flow:to_server,established;content:”UT”;nocase;content:”.jsp%20″;nocase;reference:cve,2017-12615;sid:2000015;rev:1;)4. 入侵检测效果验证4.1 CVE-2017-12615漏洞入侵检测验证回放包cve-2017-12615.tcap
关于如何进行Apache Tomcat远程命令执行漏洞利用的入侵检测问题的解答就分享到这里了，希望以上内容可以对大家有一定的帮助，如果你还有很多疑惑没有解开，可以关注云编程开发博客行业资讯频道了解更多相关知识。

相关推荐: 利用BGP origin-code 属性修改BGP选路

实验拓扑基本配置：R1L0:1.1.1.1/32L1:11.1.1.1/32E1/0:10.1.12.1/24E1/1:10.1.14.1/24R2L0:2.2.2.2/32L1:22.2.2.2/32E1/0:10.1.12.2/24E1/1:10.1.24…