漏洞介绍
Tomcat AJP协议存在缺陷，攻击者利用漏洞可以构造特定参数，读取服务器webapp/ROOT下的任意文件。若目标服务器同时存在文件上传功能，攻击者可进一步通过文件包含实现远程代码执行。
https://www.freebuf.com/articles/others-articles/227973.html
Tomcat在server.xml中配置了两种连接器：HTTP Connector和AJP Connector。
第一个连接器监听8080端口，负责建立HTTP连接。在通过浏览器访问Tomcat服务器的Web应用时，使用的就是这个连接器。
第二个连接器监听8009端口，负责和其他的HTTP服务器建立连接。在把Tomcat与其他HTTP服务器集成时，就需要用到这个连接器。AJP连接器可以通过AJP协议和一个web容器进行交互。
不建议在Internet上公开访问AJP服务。 如果AJP配置错误，则可能允许攻击者访问内部资源。
漏洞验证
无实际漏洞
网友评论