安服水洞系列 | Tomcat堆栈跟踪启用漏洞

原创进击的HACK 进击的HACK 2024-10-02 09:20

国庆放假水一篇，说到水，那就不得不提安服水洞系列，也是久违的更新了。
Tomcat堆栈跟踪启用漏洞，听上去高大上，其实非常简单，一看就会。下面是案例。

声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途给予盈利等目的，否则后果自行承担！

正常访问一个url，比如https://example.com/，返回404，看报错是Tomcat

在url当中添加一个不存在的参数和参数值 [，如https://example.com/?a=[

https://xxxx/?a=[

修复方案

https://cloud.tencent.com/developer/ask/sof/117138051

找到tomcat的配置文件server.xml，默认路径在apache-tomcat-9.0.89\conf下

<Valve className="org.apache.catalina.valves.ErrorReportValve"
    showReport="false" 
    showServerInfo="false" />

修改后重启tomcat，400不再返回堆栈信息

在这里庆祝各位师傅们节日快乐，顺便推荐下最近在看的书。

往期推荐