Tomcat服务器 安全设置第1/3页
更新时间：2009年08月01日 15:54:19 作者：
tomcat是一个开源Web服务器，基于Tomcat的Web运行效率高，可以在一般的硬件平台上流畅运行，因此，颇受Web站长的青睐。不过，在默认配置下其存在一定的安全隐患，可被恶意攻击。
另外，由于其功能比较单纯需要我们进一步地进行设置。本机将从安全和功能两方面谈谈基于Tomcat的Web服务器的部署，希望对大家有所帮助。
环境描述
OS：Windows Server 2003
IP：192.168.1.12
Tomcat：6.0.18
1、安全测试
(1).登录后台
在Windows Server 2003上部署Tomcat，一切保持默认。然后登录Tomcat后台，其默认的后台地址为：
http://192.168.1.12:8080/manager/html。在浏览器中输入该地址，回车后弹出登录对话框，输入默认的用户名admin，默认的密码为空，成功登录后台。(图1)
(2).获得Webshell
在Tomcat的后台有个WAR file to deploy模块，通过其可以上传WAR文件。Tomcat可以解析WAR文件，能够将其解压并生成web文件。我们将一个jsp格式的webshell用WinRar打包然后将其后缀改名为WAR(本例为gslw.war)，这样;一个WAR包就生成了。最后将其上传到服务器，可以看到在Tomcat的后台中多了一个名为/gslw的目录，点击该目录打开该目录jsp木马就运行了，这样就获得了一个Webshell。(图2)
(3).测试操作
创建管理员
Tomcat服务默认是以system权限运行的，因此该jsp木马就继承了其权限，几乎可以对Web服务器进行所有的操作。比如启动服务、删除/创建/修改文件、创建用户。我们以创建管理员用户为例进行演示。运行jsp木马的“命令行”模块，分别输入命令net user test test168 /add和net localgroup administrators test /add，这样就创建了一个具有管理员权限的test用户，其密码为test168。(图3)
远程登录
我们还可以进一步地渗透，比如通过“远程桌面”登录Web服务器。输入命令netstat -ano查看该服务器的3389端口是关闭的。我们可以利用webshell上传一个工具，利用其开启Web服务器的远程桌面。最后，我们就可以成功登录系统，至此整个Web沦陷。(图4)
环境描述
OS：Windows Server 2003
IP：192.168.1.12
Tomcat：6.0.18
1、安全测试
(1).登录后台
在Windows Server 2003上部署Tomcat，一切保持默认。然后登录Tomcat后台，其默认的后台地址为：
http://192.168.1.12:8080/manager/html。在浏览器中输入该地址，回车后弹出登录对话框，输入默认的用户名admin，默认的密码为空，成功登录后台。(图1)
(2).获得Webshell
在Tomcat的后台有个WAR file to deploy模块，通过其可以上传WAR文件。Tomcat可以解析WAR文件，能够将其解压并生成web文件。我们将一个jsp格式的webshell用WinRar打包然后将其后缀改名为WAR(本例为gslw.war)，这样;一个WAR包就生成了。最后将其上传到服务器，可以看到在Tomcat的后台中多了一个名为/gslw的目录，点击该目录打开该目录jsp木马就运行了，这样就获得了一个Webshell。(图2)
(3).测试操作
创建管理员
Tomcat服务默认是以system权限运行的，因此该jsp木马就继承了其权限，几乎可以对Web服务器进行所有的操作。比如启动服务、删除/创建/修改文件、创建用户。我们以创建管理员用户为例进行演示。运行jsp木马的“命令行”模块，分别输入命令net user test test168 /add和net localgroup administrators test /add，这样就创建了一个具有管理员权限的test用户，其密码为test168。(图3)
远程登录
我们还可以进一步地渗透，比如通过“远程桌面”登录Web服务器。输入命令netstat -ano查看该服务器的3389端口是关闭的。我们可以利用webshell上传一个工具，利用其开启Web服务器的远程桌面。最后，我们就可以成功登录系统，至此整个Web沦陷。(图4)
相关文章
这篇文章主要介绍了Tomcat部署Bolo,我的服务器的镜像是Alibaba Cloud Linux 3，全面兼容RHEL/CentOS 8生态，Bolo需要JavaEE环境，不能选择最新的Tomcat10，需要Tomcat9或者Tomcat8，感兴趣的朋友跟随小编一起看看吧2022-01-01
本篇文章主要介绍了tomcat部署web应用的方法，主要有4中方法，包括Tomcat自动部署、控制台进行部署、增加自定义的Web部署文件、手动修改%Tomcat_Home%\conf\server.xml文件来部署web应用，有兴趣的可以了解一下。2016-11-11
tomcat启动异常:子容器启动失败(a child container failed&n
这篇文章主要介绍了tomcat启动异常:子容器启动失败(a child container failed during start),如果你也遇到了这个问题,那么这篇文章应该可以帮助到你,一起来看看吧2023-03-03
这篇文章主要介绍了tomcat简介，详细的介绍了tomcat和Tomcat基本配置，具有一定的参考价值，有兴趣的可以了解一下2017-07-07
tomcat启动startup.bat一闪而过问题的解决方法【亲测有效】
这篇文章主要介绍了tomcat启动startup.bat一闪而过问题的解决方法，非常不错，具有一定的参考借鉴价值，需要的朋友参考下吧2018-05-05
当访问服务器中受保护的资源时，容器管理的验证方法可以控制确认用户身份的方式。Tomcat支持四种容器管理的安全防护。下面小编给大家分享Tomcat容器管理安全的验证方式汇总，感兴趣的朋友一起看看吧2016-11-11
Tomcat 发布程序使用cmd查看端口占用、相应进程、杀死进程等的命令
这篇文章主要介绍了Tomcat 发布程序使用cmd查看端口占用、相应进程、杀死进程等的命令的相关资料,需要的朋友可以参考下2016-12-12
这篇文章主要介绍了如何将Tomcat设置为自动启动的服务最快捷方法，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧2018-11-11
这篇文章主要介绍了IDEA中Tomcat配置问题以及运行报错的解决方案,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2023-11-11
Tomcat服务器配置https认证(使用keytool生成证书)
本文主要介绍了Tomcat服务器配置https认证，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2022-07-07
最新评论