Tomcat上传jsp木马

一、暴力破解

首先我们访问目标IP和端口

点击server status登录,直接burp进行爆破

我们输入tomcat 123 抓包,发现这个Basic是base64编码后的,解码是 tomcat:123

我们暴破时需要注意这里用的base64构成的,具体操作可以看http://t.csdnimg.cn/yF6xW

解码之后就能进去了。

二、制作JSP木马

点击应用程序列表,发现文件上传点。

使用哥斯拉制作JSP木马:

首先运行哥斯拉 java -jar Godzilla.jar

点击 管理-->生成

注意保存时命名一定要写上.jsp,否则不生效

我在linux上面将这个jsp文件转成war文件,当然在windows也可以制作。前提是需要java环境,注意命令的名称顺序。

复制代码
root@hcss-ecs-4ab6:/home# jar cvf test.war test.jsp
added manifest
adding: test.jsp(in = 2617) (out= 916)(deflated 64%)

将test.war上传到tomcat下面,访问http://ip:8081/test/test.jsp,若显示能访问的到,即可连接哥斯拉。

然后切换目录到根目录下,可以直接看到flag等敏感信息。

相关推荐
你的人类朋友2 分钟前
什么是OpenSSL
后端·安全·程序员
支付宝体验科技5 小时前
AI4SDL:支付宝业务应用研发安全保障体系建设实践
安全
没逻辑11 小时前
Post-Quantum HTTPS:未来的安全通信架构
后端·安全
LH_R12 小时前
OneTerm开源堡垒机实战(四):访问授权与安全管控
运维·后端·安全
LH_R1 天前
OneTerm开源堡垒机实战(三):功能扩展与效率提升
运维·后端·安全
你的人类朋友2 天前
什么是API签名?
前端·后端·安全
深盾安全2 天前
ProGuard混淆在Android程序中的应用
安全
CYRUS_STUDIO2 天前
利用 Linux 信号机制(SIGTRAP)实现 Android 下的反调试
android·安全·逆向
白帽黑客沐瑶2 天前
【网络安全就业】信息安全专业的就业前景(非常详细)零基础入门到精通,收藏这篇就够了
网络·安全·web安全·计算机·程序员·编程·网络安全就业
christine-rr2 天前
linux常用命令(4)——压缩命令
linux·服务器·redis