怎么实现Apache Tomcat样例目录session操纵漏洞

蜗牛互联网技术资讯2021-12-178991

这期内容当中小编将会给大家带来有关怎么实现Apache Tomcat样例目录session操纵漏洞，文章内容丰富且以专业的角度为大家分析和叙述，阅读完这篇文章希望大家可以有所收获。

0x00 背景

前段时间扫到的漏洞，研究了下，感觉挺有意思的，发出来和大家分享下，有啥不对的地方还请各位拍砖指正。

Apache Tomcat默认安装包含”/examples”目录，里面存着众多的样例，其中session样例(/examples/servlets/servlet/SessionExample)允许用户对session进行操纵。因为session是全局通用的，所以用户可以通过操纵session获取管理员权限。

0x01 漏洞分析演示

首先，我们先来看看SessionExample的部分源码

//表单代码

out.println("<P>");

out.print("<form action=\"");

out.print(response.encodeURL("SessionExample"));

out.print("\" ");

out.println("method=POST>");

out.println(rb.getString("sessions.dataname"));

out.println("<input type=text size=20 name=dataname>");

out.println("<br>");

out.println(rb.getString("sessions.datavalue"));

out.println("<input type=text size=20 name=datavalue>");

out.println("<br>");

out.println("<input type=submit>");

out.println("</form>");

//核心代码

HttpSession session = request.getSession(true);

out.println(rb.getString("sessions.id") + " " +session.getId());

out.println("<br>");

out.println(rb.getString("sessions.created") + " ");

out.println(new Date(session.getCreationTime()) +"<br>");

out.println(rb.getString("sessions.lastaccessed") + "");

out.println(new Date(session.getLastAccessedTime()));

String dataName = request.getParameter("dataname");//获取dataname参数的值

String dataValue = request.getParameter("datavalue");//获取datavalue参数的值

if (dataName != null && dataValue != null) {

session.setAttribute(dataName, dataValue);//将dataname和datavalue写入session

}

用户通过表单提交dataname和datavalue参数，然后通过request.getParameter（）函数获取这两个参数的值，再通过session.setAttribute()函数将dataname和datavalue的值写入session。因为session全局通用的特性，所以可以通过操纵session参数的值来获取网站管理员权限的目的。

举个例子：

我们先来编写login.jsp,login2.jsp,index.jsp这三个页面，通过这三个页面来模拟一般网站身份验证的过程。

<formaction=login2.jsp method="POST" >

用户名: <input type="text"name="username"><br>

密码: <input type="text" name="password"><br>

<inputtype="submit" value="登录"><br>

<form>

login2.jsp

if(request.getParameter("username") != null &&

request.getParameter("password")!= null) {

String username =request.getParameter("username");

String password =request.getParameter("password");