Tomcat是壹個開源的Web服務器系統。用Tomcat構建的網站系統開銷低，擴展性好，支持負載均衡和郵件服務，因此很受站長們的歡迎。值得壹提的是，Tomcat在Linux系統平臺上優勢明顯，很多用戶用它來搭建網站。最近Tomcat入侵很熱，很多網站甚至服務器都被困住了。令人不安的是，實現Tomcat入侵技術的門檻比較低，所以危害極大。下面筆者揭秘入侵過程，讓站長知己知彼，采取相應措施，加強站點安全。壹、Tomcat入侵揭秘1，掃描和幾乎所有的入侵壹樣，攻擊者對Tomcat的入侵都是從掃描開始的。現在網絡上湧現出了針對Tomcat的掃描工具，普通用戶也很容易獲得。而且這些工具有的可以搜索掃描關鍵詞，攻擊者通過輸入相應的關鍵詞就可以掃描入侵某類Tomcat網站。掃描的原理很簡單，因為Tomcat默認通過端口8080提供Web服務。這些工具可以直接掃描網絡中開放8080端口的主機，可以過濾開放8080端口的Web防火墻，縮小攻擊範圍。利用掃描工具，攻擊者不僅可以獲取開放8080端口的Tomcat服務器的IP地址，還可以自動掃描和猜測弱密碼。(圖1) 2。利用上述後臺掃描獲得的IP和弱密碼，攻擊者可以通過默認的admin用戶登錄後臺。Tomcat的默認後臺是http://server IP:8080/manager/html。在瀏覽器地址欄輸入URL地址，會彈出登錄對話框。輸入默認用戶名admin和弱密碼登錄後臺。(圖2)在Tomcat的後臺，可以看到站點的所有目錄和文件，並提供了“啟動”、“停止”、“重新加載”、“取消部署”等功能來啟動、停止、重啟、卸載目錄。當然，對於攻擊者來說，Tomcat後臺提供的上傳功能可能是最有趣的。在這裏，您可以上傳壹個WAR文件，這是壹個發布和打包的Web應用程序，可以在上傳到網站後執行。攻擊者可以封裝壹個jsp網馬，生成壹個WAR文件，然後上傳運行網馬。(圖3) 3。Webshell在後臺上傳用WAR打包的網馬後，會在Tomcat站點下生成壹個與上傳文件同名的目錄。點擊目錄，可以看到jsp網馬。在瀏覽器中輸入網馬的URL地址，就會得到壹個Webshell。然而，通常攻擊者會將網馬重命名為index.jsp，這樣點擊目錄就可以直接運行網馬。Webshell在tomcat中獲得的權限還是很大的。妳可以瀏覽和修改站點中的所有文件，當然妳也可以創建文件。如果是Windows系統，可以瀏覽磁盤分區，執行系統命令。例如，創建壹個管理員帳戶，上傳和運行特洛伊馬，等等。如果是linux系統，可以進入各種系統目錄，執行linux命令。例如，我們可以通過ls -l列出當前目錄中的所有文件，如圖4所示，並查看和修改系統敏感文件/etc/passwd，如圖5所示。可以想象，如果我們刪除了passwd中root:x:0:0:root:/root:/bin/bash中的x，那麽root用戶就會有壹個空密碼。(圖4)(圖5) 4。通過Webshell攻擊者，可以對系統進行授權和滲透，以獲得對整個服務器的控制。這部分內容，作者只是略加觸及，不會進壹步揭示。
二、安全防範措施1、設置強密碼從上面的入侵測試過程中，我們可以看出後臺密碼是壹個關鍵，所以首先要設置壹個健壯的後臺密碼。在Tomcat中，用戶和密碼保存在conf/tomcat-users.xml文件中。下面是壹個標準的tomcat-users.xml文件:根據這個文件，可以進入後臺的用戶有五個，其中manager和admin的權限最大，角色後面的manager表示是管理員權限。有兩種方法可以防止默認用戶admin和弱密碼受到攻擊。(1)更改用戶名和密碼我們把tomcat-users.xml文件倒數第二行的單詞改為，也就是把登錄用戶改為lw，登錄密碼改為gslw。最後，再次登錄後臺測試。使用默認用戶名和密碼admin登錄失敗，如圖6所示，但是使用新用戶名和密碼登錄成功。(圖6) (2)。修改權限我們把tomcat-users.xml文件倒數第二行的改成了，去掉了admin之後的manager，也就是取消了administrator權限。然後重啟tomcat(必須重啟，因為Tomcat重啟時會加載配置文件，這樣剛才做的改動才會生效。)登錄失敗，如圖6所示。2.隱藏後臺路徑，更改Tomcat管理後臺路徑，不被攻擊者猜到。當然，如果覺得背景沒必要，也可以遮擋背景。屏蔽後臺就是重命名conf/catalina/localhost/admin . XML文件，讓攻擊者掃描後臺甚至猜出弱密碼，無法登錄後臺，從而無法上傳網馬，獲取Webshell對服務器進行滲透攻擊。我想說的是，上面的改動必須重啟Tomcat才能生效。(圖7) 3。清除Webshell如果Tomcat已經被植入Webshell，可以在站點中查找可疑文件。當然，最方便的是進入後臺，檢查是否有可疑目錄，然後點擊“停止”或“取消部署”來停止該目錄。最徹底的就是找到源文件直接刪除。webshell的文件壹般包括三個部分:壹個WAM文件，壹個和WAM同名的文件夾，最重要的是這個文件夾下的網馬，要壹起刪除。(圖8)總結:本文描述了攻擊者從掃描到獲取Tomcat站點webshell的過程，希望能幫助妳了解黑客的攻擊過程，知己知彼，並采取相應的措施。此外，本文還提供了應對這類攻擊的方法，希望對大家有所幫助。