国庆放假水一篇，说到水，那就不得不提安服水洞系列，也是久违的更新了。
Tomcat堆栈跟踪启用漏洞，听上去高大上，其实非常简单，一看就会。下面是案例。
声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途给予盈利等目的，否则后果自行承担！
正常访问一个url，比如https://example.com/， 返回404，看报错是Tomcat
在url当中添加一个不存在的参数和参数值 [，如https://example.com/?a=[
https://xxxx/?a=[
修复方案
https://cloud.tencent.com/developer/ask/sof/117138051
找到tomcat的配置文件server.xml，默认路径在apache-tomcat-9.0.89conf下
<Valve className="org.apache.catalina.valves.ErrorReportValve"
showReport="false"
showServerInfo="false" />修改后重启tomcat，400不再返回堆栈信息
在这里庆祝各位师傅们节日快乐，顺便推荐下最近在看的书。
原文始发于微信公众号（进击的HACK）：安服水洞系列 | Tomcat堆栈跟踪启用漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论