Ajp任意文件读取和包含漏洞调试

Word count: 891Reading time: 3 min

 2020/02/26 

Ajp任意文件读取和包含漏洞调试

漏洞简述

Apache Tomcat AJP协议（默认8009端口）由于存在实现缺陷导致相关参数可控，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp目录下的任意文件。若服务器端同时存在文件上传功能，攻击者可进一步结合文件包含实现远程代码的执行。

影响范围

Tomcat 6.*
Tomcat 7.* < 7.0.100
Tomcat 8.* < 8.5.51
Tomcat 9.* < 9.0.31

遇到几个问题

Ajp如何到HTTP
漏洞触发原理及利用
调试过程中的问题

1. Ajp如何到HTTP

AJP协议是定向包（面向包）协议，采用二进制形式代替文本形式，以提高性能。

tomcat web路由 conf/web.xml

第一条：url 为/开头default路由，对应servlet，org.apache.catalina.servlets.DefaultServlet
第二条：url为*.jsp，*.jspx的路由，对应servle，org.apache.jasper.servlet.JspServlet

2. 漏洞触发原理及利用过程

漏洞原理：

在Ajp接受到数据后，先进行prepareRequest()获取request属性，然后getAdapter().service(request, response)根据web路由发送servlet对象处理。

其中以*.jsp, *.jspx结尾的URI会经JspServlet处理，而其他请求资源使用DefaultServlet处理。

在处理过程中使用了用户可控的request 属性，然后造成文件读取，及文件包含漏洞（需能上传文件）。

触发过程：

tomcat开启调试：

任意文件读取

执行poc：

Ajp处理数据：

AjpProcessor->prepareRequest()取出request属性

getAdapter().service(request, response); 发送给HTTP servlet处理

获取get资源

通过getRelativePath获取资源路径

getAttribute需要三个属性
- request_uri = RequestDispathcher.INCLUDE_REQUEST_URL
- path_info = RequestDispathcher.INCLUDE_PATH_INFO
- servlet_path = RequestDispathcher.INCLUDE_SERVLET_PATH
  
  可控路径path = servletPath + pathinfo 即/WEB-INF/web.xml
  - url目录来源resource对象根据url进行了一个路径匹配然后在设置context的值
  最终路径 = url目录+ path 即/manager/WEB-INF/web.xml
获取资源

输出

文件包含RCE

运行poc ，这个1.jsp并不要实际存在，目的只是为了走JspServlet路由

test.xml是提前上传的文件

1 2	//test.xml <%Runtime.getRuntime().exec("open -a Calculator");%>

可控路径 = jspUri = servlet_path + path_info

最终路径 = url目录+jspUri ，即/manager/test.xml

由我们控制的 jspuri 被封装成了一个 JspServletWrapper 添加到了Jsp运行上下文 JspRuntimeContext 中.最后 wrapper.service() 会编译 test.xml ,并执行它的 _jspService() 方法来处理当前请求，我们的代码被执行。

在其他目录也是如此：

3. 调试过程中的问题

1. 为何不能跳出wabapps目录读取`/etc/passwd`

测试传递 ../../../../etc/passwd

存在validate对路径做验证

RequestUtil.normalize(String, boolean) line: 100 因为匹配到/../返回0，然后报错

2. 有的目录下文件读取或包含不成功

原因：如访问/docs会先重定向/docs/

3. 调试时出现`sourece not found`无法看到源码

解决方法：

debug配置中导入项目源码包

先导出，项目右键export->jar

配置导入，Debug config -> Add -> External Archive -> tomcat.jar

修复方法

//tomcat修复
1. 默认不开启AJP
2. 默认只监听本地ip
3. 强制设置认证secret
4. 代码层面主要在 AjpProcessor 类的 prepareRequest 方法封装 requst 对象时采用了白名单，只添加已知属性。这样 三个include属性 不再被客户端控制，漏洞修复。

####参考链接

ajp-bug

eclipse调试tomcat

Eclipse的Debug调试技巧大全
 AJP协议总结与分析

CVE-2020-1938:Tomcat AJP文件包含漏洞分析

脚本来源https://github.com/b1cat/CVE_2020_1938_ajp_poc

Author：John Doe

Link：http://example.com/2020/02/26/%E6%BC%8F%E6%B4%9E%E5%A4%8D%E7%8E%B0/Ajp%E4%BB%BB%E6%84%8F%E6%96%87%E4%BB%B6%E8%AF%BB%E5%8F%96%E5%92%8C%E5%8C%85%E5%90%AB%E6%BC%8F%E6%B4%9E%E8%B0%83%E8%AF%95/

Publish date：February 26th 2020, 7:42:10 pm

Update date：October 3rd 2022, 11:22:02 pm

License：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可